Из каких частей состоит JWT-токен?

JWT имеет строгую и стандартизированную структуру, которая одинакова для всех реализаций.

Определение

JWT (JSON Web Token) — это компактный токен, состоящий из трёх логических частей, закодированных в Base64 и объединённых в одну строку.

Структура JWT

Перед перечислением важно понимать: JWT — это не зашифрованные, а подписанные данные.

1) Header

Содержит метаинформацию о токене.

1. Типичные поля

   • alg — алгоритм подписи

   • typ — тип токена (JWT)

2. Назначение

   • сообщает, как проверять подпись

2) Payload

Содержит полезную нагрузку — claims.

1. Типы claims

   • зарегистрированные (iss, exp, sub)

   • публичные (данные пользователя)

   • кастомные

2. Важный момент

   • данные не зашифрованы

   • их может прочитать любой

3) Signature

Используется для проверки целостности токена.

1. Как формируется

   • header + payload

   • секретный ключ или публичный ключ

2. Что гарантирует

   • токен не был подменён

   • токен выдан доверенным сервером

Краткий вывод

JWT состоит из header, payload и signature, где подпись — ключевой элемент безопасности, а payload не предназначен для хранения секретных данных.