Гайд

Пользовательские утверждения (публичные vs частные)

Помимо зарегистрированных утверждений (iss, exp, ...) — виды, которые вы задаёте сами, и как избежать коллизий.

Зарегистрированные: стандартный набор RFC 7519 (iss, sub, aud, exp, nbf, iat, jti). Их смысл фиксирован и совместим.
Публичные: используемые публично, зарегистрированные в IANA или с именем без коллизий.
Частные: согласованные между конкретными сторонами (role, plan, ...) — есть риск коллизий, поэтому избегайте коротких распространённых имён.
Совет: не кладите чувствительные данные даже в пользовательские утверждения, а во избежание коллизий иногда используют URI-пространство имён (например, https://myapp.com/roles).

Попробуйте декодировать токен самиПросто вставьте — заголовок, полезная нагрузка и утверждения раскроются мгновенно.

Открыть декодер

Связанные

Что такое JWT

JWT (JSON Web Token) — это небольшой подписанный формат JSON-токена для безопасной передачи информации между сторонами.

Трёхчастная структура JWT

Каждый JWT состоит из header.payload.signature, и каждая часть закодирована в base64url.

Чек-лист безопасности JWT

Короткий список ключевых принципов безопасного использования JWT.

JWT против сессионной аутентификации

Разница между аутентификацией по токену (JWT) и по серверной сессии (cookie) и когда что использовать.

Частые ошибки JWT и их решение

Самые частые ошибки при работе с JWT, их причины и способы устранения.

Токены доступа и токены обновления

Роль короткоживущего токена доступа и токена обновления, который его продлевает.

JWS против JWE (подписанный vs зашифрованный)

JWT обычно является подписанным JWS; чтобы скрыть содержимое, используют зашифрованный JWE. Вот разница.

Где хранить JWT: localStorage vs cookie

От того, где вы храните JWT в браузере, зависит риск XSS и CSRF.

JWT в OAuth 2.0 и OpenID Connect

Как JWT используется в OAuth 2.0 и OpenID Connect.