Bir JSON Web Token (JWT), bir kullanıcı hakkında claim'ler taşıyan kompakt, URL-güvenli, kendi kendine yeten bir token'dır. Sunucu onu bir kez imzalar; sonrasında her request'te veritabanı sorgusu olmadan token'ı doğrulayabilir — JWT tabanlı auth'u stateless yapan budur.
Bir JWT 'dır; noktalarla birleştirilmiş üç base64url ile kodlanmış segment:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/user id), exp (son kullanma), iat (verilme zamanı), iss (issuer) gibi standart olanlar ve herhangi bir özel alan (role, email).Payload kodlanmıştır, şifrelenmemiştir. Herkes base64-decode edip okuyabilir, bu yüzden asla parola veya secret'ları bir JWT'ye koymayın.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Her request'te sunucu, alınan header+payload üzerinden signature'ı yeniden hesaplar ve karşılaştırır. Eşleşirlerse ve exp gelecekteyse token'a güvenilir — session store gerekmez.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // kurcalanmış veya süresi dolmuşsa hata fırlatır
// claims.sub === "123"
} catch (e) {
// reddet: geçersiz veya süresi dolmuş
}
Doğrulama stateless olduğu için, bir token'ı süresi dolmadan yalnızca sunucu tarafında "silerek" geçersiz kılamazsınız. Yaygın hafifletmeler:
jti) küçük bir denylist'ini tutun — bu, biraz state'i geri getirir.| Depolama | Artı | Eksi |
|---|---|---|
httpOnly cookie | JS tarafından okunamaz (XSS'e karşı daha güvenli) | CSRF koruması gerekir |
localStorage | Basit, CSRF yok | XSS'e açık |
JWT'ler API'ler, microservice'ler ve SPA'lar genelinde stateless kimlik doğrulamayı güçlendirir — bir servis, paylaşılan bir session store olmadan, yalnızca bir signature'ı doğrulayarak bir request'e güvenebilir. Ancak aynı statelessness klasik mülakat tuzağıdır: token'lar kolayca iptal edilemez, payload okunabilir ve alg karışıklığı veya eksik bir son kullanma kontrolü gerçek güvenlik açıklarıdır. Signature'ın tam olarak neyi koruduğunu ve neyi korumadığını bilmek, JWT'leri güvenli kullanmak için esastır.
Junior'dan Senior'a detaylı cevaplarla bir BT mülakat soruları kütüphanesi.
Bağış Yap