Kepiye cara kerjane JSON Web Token (JWT)?

Question

IT Interview Practice · Accepted Answer

**JSON Web Token (JWT)** yaiku token sing ringkes, aman kanggo URL, lan mandiri (self-contained) sing nggawa claim babagan sawijining pangganggo. Server nandhatangani sepisan; sawise iku bisa **mriksa** token ing saben request tanpa lookup database — iku sing ndadèkake autentikasi adhedhasar JWT dadi *stateless*.

## Struktur: telung bagean base64url

Sawijining JWT yaiku `header.payload.signature`, telung segmen ter-encode base64url sing disambung nganggo titik:

```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9   ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9      ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1    ← signature
```

- **Header** — algoritma tandha tangan, cont. `{ "alg": "HS256", "typ": "JWT" }`.
- **Payload** — **claim**-e: sing standar kaya `sub` (subject/user id), `exp` (kadaluwarsa), `iat` (wektu terbit), `iss` (issuer), plus field kustom apa wae (`role`, `email`).
- **Signature** — diétung ing sadhuwure header lan payload nganggo secret utawa private key.

> Payload iku **di-encode, dudu dienkripsi**. Sapa wae bisa mbase64-decode lan maca, mula aja tau ndèlèhake sandi utawa secret ing njero JWT.

## Carane tandha tangan lan verifikasi dadi

```
signature = HMAC-SHA256(
  base64url(header) + "." + base64url(payload),
  secret
)
```

- **HS256** (simetris): secret sing padha nandhatangani lan mriksa. Prasaja, nanging saben verifier kudu nyekel secret.
- **RS256** (asimetris): sawijining **private key** nandhatangani, sawijining **public key** mriksa. Auth server nyimpen private key; layanan liya mriksa nganggo public key lan ora bakal tau bisa nyithak token.

Ing saben request, server ngétung maneh signature ing sadhuwure header+payload sing ditampa banjur mbandhingake. Yen cocog lan `exp` isih ing mangsa ngarep, token dipercaya — ora butuh panyimpenan sesi.

```js
const jwt = require("jsonwebtoken");

const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
  expiresIn: "15m",
});

try {
  const claims = jwt.verify(token, SECRET); // mbuwang error yen diowahi utawa kadaluwarsa
  // claims.sub === "123"
} catch (e) {
  // tampik: ora valid utawa kadaluwarsa
}
```

## Bagean sing angel: pambatalan (revocation)

Amarga verifikasi iku stateless, sampeyan **ora bisa** mbatalake token sadurunge kadaluwarsa mung kanthi "mbusak" ing sisih server. Mitigasi umum:

- Jaga access token supaya **cendhak umure** (5–15 menit) lan pasangna karo **refresh token** sing luwih dawa umure.
- Rumat **denylist** cilik isi id token sing dibatalake (`jti`) kanggo logout/kompromi — iki nglebokake maneh sethithik state.
- Rotasi kunci tandha tangan.

## Trade-off panyimpenan

| Panyimpenan | Kaluwihan | Kekurangan |
|---|---|---|
| Cookie `httpOnly` | Ora kewaca dening JS (luwih aman saka XSS) | Butuh proteksi CSRF |
| `localStorage` | Prasaja, tanpa CSRF | Kepapar menyang XSS |

## Kenapa iki penting

JWT nggerakake autentikasi stateless ing saindenging API, microservice, lan SPA — sawijining layanan bisa mercaya request mung kanthi mriksa signature, tanpa panyimpenan sesi sing dienggo bareng. Nanging kastatelesan sing padha iku dadi jebakan wawancara klasik: token ora gampang dibatalake, payload kewaca, lan bingung `alg` utawa lali mriksa kadaluwarsa yaiku kerentanan nyata. Ngerti persis apa sing dilindhungi signature, lan apa sing ora, iku penting banget kanggo nganggo JWT kanthi aman.

Panyimpenan	Kaluwihan	Kekurangan
Cookie `httpOnly`	Ora kewaca dening JS (luwih aman saka XSS)	Butuh proteksi CSRF
`localStorage`	Prasaja, tanpa CSRF	Kepapar menyang XSS

Struktur: telung bagean base64url

Carane tandha tangan lan verifikasi dadi

Bagean sing angel: pambatalan (revocation)

Trade-off panyimpenan

Kenapa iki penting

Pitakon sing gegandhengan