JSON Web Token (JWT) to zwarty, bezpieczny dla URL, samodzielny token, który niesie oświadczenia (claims) o użytkowniku. Serwer podpisuje go raz; potem może weryfikować token przy każdym żądaniu bez odpytywania bazy danych — to właśnie czyni uwierzytelnianie oparte na JWT bezstanowym.
JWT to header.payload.signature, trzy segmenty zakodowane w base64url połączone kropkami:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (podmiot/id użytkownika), exp (wygaśnięcie), iat (czas wystawienia), iss (wystawca) oraz dowolne pola własne (role, email).Payload jest zakodowany, nie zaszyfrowany. Każdy może go zdekodować z base64 i odczytać, więc nigdy nie umieszczaj haseł ani sekretów w JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Przy każdym żądaniu serwer przelicza podpis nad otrzymanym header+payload i porównuje go. Jeśli się zgadzają, a exp jest w przyszłości, token jest zaufany — nie trzeba magazynu sesji.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // rzuca wyjątek, jeśli zmodyfikowany lub wygasły
// claims.sub === "123"
} catch (e) {
// odrzuć: nieprawidłowy lub wygasły
}
Ponieważ weryfikacja jest bezstanowa, nie możesz unieważnić tokenu przed jego wygaśnięciem, po prostu „usuwając" go po stronie serwera. Typowe środki zaradcze:
jti) dla wylogowania/kompromitacji — to ponownie wprowadza odrobinę stanu.| Przechowywanie | Zaleta | Wada |
|---|---|---|
Cookie httpOnly | Nieodczytywalne przez JS (bezpieczniejsze wobec XSS) | Wymaga ochrony przed CSRF |
localStorage | Proste, bez CSRF | Narażone na XSS |
JWT napędzają bezstanowe uwierzytelnianie w API, mikrousługach i SPA — usługa może zaufać żądaniu, weryfikując sam podpis, bez współdzielonego magazynu sesji. Ale ta sama bezstanowość to klasyczna pułapka rekrutacyjna: tokenów nie da się łatwo unieważnić, payload jest odczytywalny, a pomylenie alg czy brak sprawdzenia wygaśnięcia to realne podatności. Wiedza o tym, co dokładnie chroni podpis, a czego nie, jest niezbędna do bezpiecznego korzystania z JWT.
Biblioteka pytań rekrutacyjnych IT ze szczegółowymi odpowiedziami — od Juniora do Seniora.
Wesprzyj