Как JWT передаётся между запросами?

JWT — статeless-механизм, поэтому токен должен передаваться в каждом запросе, где нужна авторизация.

Определение

Bearer Token — это способ передачи токена, при котором сам факт владения токеном считается доказательством авторизации.

Основные способы передачи JWT

1) HTTP-заголовок Authorization (рекомендуется)

• Формат:

Authorization: Bearer <jwt_token>

• Универсальный и стандартный подход.

• Хорошо работает с прокси, логированием и middleware.

2) Cookie

• Часто используется в браузерных приложениях.

• Может быть HttpOnly и Secure.

• Нужно учитывать CSRF.

3) Query-параметры (не рекомендуется)

• Токен может попасть в логи.

• Уязвим для утечек через referrer.

Что важно учитывать

1. Stateless-подход

   • Сервер не хранит сессии.

   • Вся информация — в токене.

2. Срок жизни

   • JWT обычно короткоживущий.

   • Используются refresh-токены.

3. Безопасность передачи

   • Всегда через HTTPS.

Вывод

Стандартный и самый безопасный способ передачи JWT — через заголовок Authorization: Bearer, остальные варианты используют только при особых требованиях.