Как происходит защита JWT токена от подделки

JWT (JSON Web Token) защищается от подделки с помощью цифровой подписи или шифрования. Основные механизмы:

1. Подпись (Signature) – токен подписывается секретным ключом (HMAC) или парой ключей (RSA/ECDSA). Клиент может проверить подлинность, проверив подпись.

// Пример создания JWT с подписью HMAC
String secret = "mySecretKey";
String jwt = Jwts.builder()
    .setSubject("user123")
    .signWith(SignatureAlgorithm.HS256, secret)
    .compact();

2. Шифрование (JWE) – токен шифруется, чтобы содержимое не мог прочитать кто-то кроме владельца ключа.

3. Алгоритмы без подписи (none) – уязвимость, если сервер принимает токены без проверки подписи. Всегда проверяйте алгоритм!

4. Срок действия (exp, nbf) – токены имеют ограниченное время жизни.

5. HTTPS – защищает от перехвата токена при передаче.

Важно: храните секретные ключи в безопасном месте и используйте надежные алгоритмы (HS256, RS256).