Kif jaħdem JSON Web Token (JWT)?

Question

IT Interview Practice · Accepted Answer

**JSON Web Token (JWT)** huwa token kompatt, sigur għall-URL, u awtonomu li jġorr claims dwar utent. Is-server jiffirmah darba; wara jista' **verify** it-token f'kull request mingħajr tfittxija fid-database — dan huwa dak li jagħmel l-auth ibbażata fuq JWT *stateless*.

## Struttura: tliet partijiet base64url

JWT huwa `header.payload.signature`, tliet segmenti kkodifikati f'base64url magħqudin b'tikek:

```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9   ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9      ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1    ← signature
```

- **Header** — l-algoritmu tal-iffirmar, eż. `{ "alg": "HS256", "typ": "JWT" }`.
- **Payload** — il-**claims**: dawk standard bħal `sub` (subject/id tal-utent), `exp` (skadenza), `iat` (issued-at), `iss` (issuer), flimkien ma' kwalunkwe fields personalizzati (`role`, `email`).
- **Signature** — ikkalkulata fuq il-header u l-payload b'secret jew private key.

> Il-payload huwa **kkodifikat, mhux encrypted**. Kulħadd jista' jagħmel base64-decode u jaqrah, allura qatt tqiegħed passwords jew secrets f'JWT.

## Kif jaħdmu l-iffirmar u l-verifika

```
signature = HMAC-SHA256(
  base64url(header) + "." + base64url(payload),
  secret
)
```

- **HS256** (simetriku): l-istess secret jiffirma u jivverifika. Sempliċi, iżda kull verifikatur irid iżomm is-secret.
- **RS256** (asimetriku): **private key** jiffirma, **public key** jivverifika. Is-server tal-auth iżomm il-private key; servizzi oħra jivverifikaw bil-public key u qatt ma jistgħu joħolqu tokens.

Ma' kull request is-server jerġa' jikkalkula s-signature fuq il-header+payload li rċieva u jqabbilha. Jekk jaqblu u `exp` għadu fil-futur, it-token huwa fdat — l-ebda session store mhu meħtieġ.

```js
const jwt = require("jsonwebtoken");

const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
  expiresIn: "15m",
});

try {
  const claims = jwt.verify(token, SECRET); // jitfa' żball jekk imbagħbas jew skada
  // claims.sub === "123"
} catch (e) {
  // irrifjuta: invalidu jew skadut
}
```

## Il-parti diffiċli: ir-revoka

Peress li l-verifika hija stateless, **ma tistax** tinvalida token qabel ma jiskadi biss billi "tħassru" min-naħa tas-server. Miżuri komuni biex ittaffi:

- Żomm l-access tokens **ta' ħajja qasira** (5–15 min) u għaqqadhom ma' **refresh token** ta' ħajja itwal.
- Żomm **denylist** żgħira ta' ids ta' tokens revokati (`jti`) għal logout/kompromess — dan jerġa' jintroduċi ftit state.
- Dawwar (rotate) il-kejjiet tal-iffirmar.

## Trade-offs tal-ħażna

| Ħażna | Vantaġġ | Żvantaġġ |
|---|---|---|
| Cookie `httpOnly` | Ma jinqarax mill-JS (aktar sigur mill-XSS) | Jeħtieġ protezzjoni CSRF |
| `localStorage` | Sempliċi, l-ebda CSRF | Espost għall-XSS |

## Għaliex huwa importanti

Il-JWTs jħaddmu l-authentication stateless madwar APIs, microservices, u SPAs — servizz jista' jafda request billi jivverifika sempliċiment signature, mingħajr session store kondiviż. Iżda l-istess statelessness hija n-nassa klassika tal-intervista: it-tokens ma jistgħux jiġu revokati faċilment, il-payload jinqara, u l-konfużjoni tal-`alg` jew nuqqas ta' verifika tal-iskadenza huma vulnerabbiltajiet reali. Li tkun taf eżatt x'jipproteġi s-signature, u x'ma jipproteġix, huwa essenzjali biex tuża l-JWTs b'mod sigur.

Ħażna	Vantaġġ	Żvantaġġ
Cookie `httpOnly`	Ma jinqarax mill-JS (aktar sigur mill-XSS)	Jeħtieġ protezzjoni CSRF
`localStorage`	Sempliċi, l-ebda CSRF	Espost għall-XSS

Struttura: tliet partijiet base64url

Kif jaħdmu l-iffirmar u l-verifika

Il-parti diffiċli: ir-revoka

Trade-offs tal-ħażna

Għaliex huwa importanti

Mistoqsijiet relatati