JSON Web Token (JWT) je kompakten, za URL varen, samozadosten žeton, ki nosi trditve (claims) o uporabniku. Strežnik ga podpiše enkrat; nato lahko žeton preveri ob vsaki zahtevi brez poizvedbe v podatkovni bazi — prav to naredi avtentikacijo na osnovi JWT brez stanja (stateless).
JWT je header.payload.signature, trije segmenti, kodirani v base64url, združeni s pikami:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subjekt/id uporabnika), exp (potek), iat (izdano ob), iss (izdajatelj), poleg poljubnih polj po meri (role, email).Payload je kodiran, ne šifriran. Vsak ga lahko dekodira iz base64 in prebere, zato v JWT nikoli ne vstavljajte gesel ali skrivnosti.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Ob vsaki zahtevi strežnik znova izračuna podpis nad prejetima header+payload in ju primerja. Če se ujemata in je exp v prihodnosti, se žetonu zaupa — shramba sej ni potrebna.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // vrže napako, če je spremenjen ali potekel
// claims.sub === "123"
} catch (e) {
// zavrni: neveljaven ali potekel
}
Ker je preverjanje brez stanja, žetona ne morete razveljaviti pred potekom zgolj tako, da ga „izbrišete" na strani strežnika. Pogosti ukrepi za omilitev:
jti) za odjavo/kompromitacijo — to znova uvede nekaj stanja.| Shranjevanje | Prednost | Slabost |
|---|---|---|
Piškotek httpOnly | JS ga ne more brati (varneje pred XSS) | Potrebuje zaščito pred CSRF |
localStorage | Preprosto, brez CSRF | Izpostavljeno XSS |
JWT-ji poganjajo avtentikacijo brez stanja po API-jih, mikrostoritvah in SPA-jih — storitev lahko zaupa zahtevi zgolj s preverjanjem podpisa, brez skupne shrambe sej. A prav ta brezstanjskost je klasična past na razgovoru: žetonov ni mogoče zlahka preklicati, payload je berljiv, zmešnjava alg ali manjkajoče preverjanje poteka pa so resnične ranljivosti. Natančno vedeti, kaj podpis ščiti in česa ne, je bistvenega pomena za varno uporabo JWT-jev.
Knjižnica IT vprašanj za razgovore s podrobnimi odgovori — od začetnika do izkušenega.
Doniraj