Что выбрать для авторизации: JWT или OAuth/OIDC?

JWT и OAuth/OIDC часто путают, потому что они встречаются в одном контексте, но решают разные задачи. JWT — это просто формат токена: подписанный JSON с заголовком, полезной нагрузкой и подписью. OAuth 2.0 — это протокол делегирования доступа, а OIDC — надстройка над OAuth для аутентификации пользователя.

Что такое JWT

JWT (JSON Web Token) — самодостаточный токен, который содержит claims (например, userId, роль, срок жизни) и подписывается секретом или приватным ключом. Сервер может проверить подпись и доверять данным без обращения к БД.

// Пример payload JWT
{
  "sub": "12345",
  "role": "admin",
  "exp": 1735689600
}
// Подпись проверяется на сервере секретом

Что такое OAuth 2.0 и OIDC

OAuth 2.0 описывает, как приложение получает ограниченный доступ к ресурсам пользователя без передачи пароля. OIDC добавляет аутентификацию: клиент получает ID token (обычно JWT) с данными о пользователе и access token для вызова API.

• Authorization Code Flow — основной сценарий для веб-приложений.
• PKCE — обязателен для SPA и мобильных приложений.
• Client Credentials — для машинного взаимодействия.

Когда что выбирать

1. Своя система логина и пароля — достаточно JWT (access + refresh).
2. Вход через Google, GitHub, Keycloak — используйте OAuth 2.0 + OIDC.
3. Микросервисы с доверенными сервисами — JWT удобен для stateless-проверки.
4. Нужен SSO и централизованное управление сессиями — OIDC-провайдер.

На практике JWT и OAuth не конкуренты: OIDC-провайдеры выдают JWT как ID token и access token. Выбор делается по задаче: нужен ли вход через внешние сервисы и централизованное управление идентификацией.

Итог: JWT применяйте как формат токена для собственной аутентификации, а OAuth/OIDC — когда требуется делегированный вход, SSO или интеграция со сторонними identity-провайдерами.