Какие плюсы и минусы JWT

Плюсы:
✅ Stateless – серверу не нужно хранить сессии, что упрощает масштабирование.
✅ Безопасность – подпись (signature) защищает от изменений, можно использовать разные алгоритмы (HS256, RS256).
✅ Универсальность – можно передавать в заголовках, куках или теле запроса.
✅ Самостоятельность – токен содержит всю необходимую информацию (payload), например, срок действия, роли пользователя.

Минусы:
❌ Невозможность отзыва – пока токен не истек, его нельзя инвалидировать (решение: использовать короткий срок жизни + refresh-токены).
❌ Размер – JWT больше, чем обычный session ID, что может влиять на производительность.
❌ Хранение на клиенте – уязвим к XSS (лучше хранить в HttpOnly куках).

Пример кода (PyJWT):

import jwt

# Генерация токена
token = jwt.encode({"user_id": 123, "exp": datetime.utcnow() + timedelta(hours=1)}, "secret", algorithm="HS256")

# Декодирование
try:
    data = jwt.decode(token, "secret", algorithms=["HS256"])
except jwt.ExpiredSignatureError:
    print("Токен истек!")