Как происходит проверка подлинности JWT?

JWT (JSON Web Token) — это компактный способ передать подписанные данные между сторонами. Токен выглядит как три Base64Url-строки, разделённые точками: header.payload.signature. Проверка подлинности нужна, чтобы убедиться, что токен не был подделан и выпущен доверенной стороной.

Структура токена

• Header — содержит алгоритм подписи (например, HS256 или RS256) и тип токена.
• Payload — набор claims: данные о пользователе, срок действия, издатель.
• Signature — криптографическая подпись первых двух частей.

Как проверяется подпись

Сервер берёт строку header.payload и применяет к ней тот же алгоритм с секретным ключом (для HS256) или приватным ключом (для RS256). Полученный результат сравнивается с signature из токена. Если они совпадают — токен подлинный.

const jwt = require('jsonwebtoken');

// Проверка токена с секретным ключом
try {
  const decoded = jwt.verify(token, process.env.JWT_SECRET);
  console.log('Payload:', decoded);
} catch (err) {
  // Неверная подпись или истёк срок
  console.error('Invalid token:', err.message);
}

Проверка claims

После успешной проверки подписи нужно валидировать claims: exp (срок действия), nbf (не раньше), iss (издатель), aud (аудитория). Библиотеки вроде jsonwebtoken делают это автоматически, но важно явно указывать ожидаемые значения.

Асимметричные алгоритмы

В RS256 подпись создаётся приватным ключом, а проверяется публичным. Это удобно в микросервисах: сервис-эмитент подписывает токен, а остальные проверяют его публичным ключом, не имея доступа к секрету.

Итог: проверка JWT — это комбинация криптографической валидации подписи и проверки claims. Применяйте её на каждом защищённом эндпоинте, чтобы гарантировать, что запрос пришёл от аутентифицированного пользователя с неподделанным токеном.