Расскажи про авторизацию на токенах

Авторизация на токенах (JWT) — это stateless-механизм аутентификации, где сервер генерирует токен после успешного входа. Токен содержит payload (данные пользователя) и подпись для проверки целостности. **Как работает:** 1. Клиент отправляет логин/пароль. 2. Сервер проверяет их и генерирует JWT. 3. Токен возвращается клиенту (обычно в `localStorage` или куках). 4. Клиент прикладывает токен в заголовке `Authorization: Bearer ` к каждому запросу. 5. Сервер проверяет подпись и разрешает доступ. **Пример:** ```javascript // Генерация токена (сервер) const token = jwt.sign({ userId: 123 }, 'secret_key', { expiresIn: '1h' }); // Проверка токена (сервер) jwt.verify(token, 'secret_key', (err, decoded) => { if (err) throw new Error('Invalid token'); console.log(decoded.userId); // 123 }); ``` **Плюсы:** - Не требует хранения сессий на сервере. - Легко масштабируется. **Минусы:** - Токен нельзя отозвать (только через blacklist или короткий TTL). - Уязвимость к XSS (если хранить в `localStorage`).