Een JSON Web Token (JWT) is een compact, URL-veilig, zelfstandig token dat claims over een gebruiker draagt. De server ondertekent het één keer; daarna kan hij het token bij elke request verify zonder database-opzoeking — dat is wat JWT-gebaseerde auth stateless maakt.
Een JWT is , drie base64url-gecodeerde segmenten verbonden door punten:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/gebruikers-id), exp (vervaltijd), iat (issued-at), iss (issuer), plus eventuele aangepaste velden (role, email).De payload is gecodeerd, niet versleuteld. Iedereen kan hem base64-decoderen en lezen, dus zet nooit wachtwoorden of geheimen in een JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Bij elke request herberekent de server de signature over de ontvangen header+payload en vergelijkt ze. Als ze overeenkomen en exp in de toekomst ligt, wordt het token vertrouwd — geen session store nodig.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // gooit een fout bij manipulatie of verval
// claims.sub === "123"
} catch (e) {
// weiger: ongeldig of verlopen
}
Omdat verificatie stateless is, kun je een token niet ongeldig maken vóór het verloopt door het server-side simpelweg te "verwijderen". Veelvoorkomende oplossingen:
jti) voor logout/compromittering — dit voert een beetje state terug in.| Opslag | Voordeel | Nadeel |
|---|---|---|
httpOnly-cookie | Niet leesbaar door JS (veiliger tegen XSS) | Vereist CSRF-bescherming |
localStorage | Eenvoudig, geen CSRF | Blootgesteld aan XSS |
JWT's drijven stateless authenticatie aan over API's, microservices en SPA's — een service kan een request vertrouwen door louter een signature te verifiëren, zonder gedeelde session store. Maar diezelfde statelessness is de klassieke interviewvalkuil: tokens kunnen niet makkelijk worden ingetrokken, de payload is leesbaar, en alg-verwarring of een ontbrekende vervalcontrole zijn echte kwetsbaarheden. Precies weten wat de signature beschermt, en wat niet, is essentieel om JWT's veilig te gebruiken.
Een bibliotheek met IT-sollicitatievragen met gedetailleerde antwoorden — van Junior tot Senior.
Doneren