Как работает JWT

JWT (JSON Web Token) — это стандарт для создания токенов доступа, состоящий из трех частей: **Header**, **Payload** и **Signature**, разделенных точками. 1. **Header** — содержит тип токена и алгоритм шифрования (например, `{"alg": "HS256", "typ": "JWT"}`). 2. **Payload** — хранит полезные данные (claims), например, `{"sub": "123", "name": "John"}`. 3. **Signature** — создается путем кодирования Header и Payload в Base64URL и подписи с помощью секретного ключа. Пример токена: ``` eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjMiLCJuYW1lIjoiSm9obiJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c ``` Как работает: - Клиент отправляет логин/пароль → сервер проверяет и генерирует JWT. - Клиент сохраняет токен (обычно в localStorage или cookies) и отправляет его в заголовке `Authorization: Bearer `. - Сервер проверяет подпись токена и его валидность (expiry, issuer и т.д.). **Плюсы:** - Stateless (не требует хранения сессии на сервере). - Легко передавать между сервисами. **Минусы:** - Нельзя отозвать без дополнительных механизмов (blacklist, short-lived токены + refresh tokens). - Уязвим к XSS, если хранится в localStorage.