json web token – co to
W nowoczesnych aplikacjach cyfrowych coraz częściej pojawia się termin JSON Web Token (JWT). To standard, który znacząco upraszcza zarządzanie tożsamością i dostępem w środowiskach rozproszonych – bez potrzeby utrzymywania sesji serwerowej, bez zależności od wspólnej bazy i z minimalnym narzutem na komunikację.
JWT to cyfrowy token zawierający zestaw informacji o użytkowniku lub kliencie, który może być bezpiecznie przesyłany pomiędzy usługami i błyskawicznie weryfikowany. Działa niezawodnie w systemach mikroserwisowych, aplikacjach mobilnych, bramach API i wszędzie tam, gdzie liczy się szybkość działania, przejrzystość i kontrola uprawnień.
W kolejnych sekcjach pokażemy, jak działa JWT od środka, kiedy warto go stosować i na co zwrócić uwagę, aby zapewnić maksymalny poziom bezpieczeństwa i zgodności z dobrymi praktykami.
Dlaczego w ogóle powstał JSON Web Token?
Internet kocha prostotę. Kiedyś każda usługa trzymała sesję użytkownika w bazie, a rozproszone mikroserwisy pytały siebie nawzajem, czy dany użytkownik jest zalogowany. Rosnąca liczba aplikacji rozciągniętych na wiele domen wymagała sposobu, który:
- nie zmusza serwerów do przechowywania stanu,
- przenosi dane uwierzytelniające w jednym, niewielkim obiekcie,
- pozwala na weryfikację bez dotykania wspólnej bazy,
- działa równie dobrze w SPA, aplikacjach mobilnych i interfejsach API.
Tak urodził się jwt token – podpisany cyfrowo dokument w formacie JSON, który zawiera wszystkie potrzebne informacje, aby serwer od razu wiedział, czy ma wpuścić klienta.
Budowa JWT w praktyce
Token jwt przypomina kanapkę składającą się z trzech warstw oddzielonych kropkami:
- Nagłówek (header) – typ oraz algorytm podpisu, na przykład
HS256lubRS256. - Ładunek (payload) – zestaw claims, czyli klucz–wartość. Najczęściej znajdziesz tam identyfikator użytkownika, jego rolę i znacznik wygaśnięcia.
- Podpis (signature) – wynik kryptograficznego skrótu nagłówka i ładunku przy użyciu sekretu (HMAC) lub klucza prywatnego (RSA/ECDSA).
Po zakodowaniu każdej części w Base64URL powstaje zwarty ciąg znaków gotowy do przesłania w nagłówku Authorization: Bearer.
Jak przebiega autoryzacja z użyciem jwt token
- Logowanie – użytkownik podaje dane, a serwer uwierzytelnia je w bazie.
- Wydanie tokenu – back-end tworzy jwt, określa datę ważności i podpisuje go.
- Przesyłanie przy każdym żądaniu – klient dołącza token do nagłówka.
- Weryfikacja – serwer oblicza podpis na podstawie swojego klucza i porównuje z podpisem w tokenie. Jeśli wszystko gra, żądanie trafia do chronionego zasobu.
- Wygaśnięcie – po upływie limitu czasu lub wylogowaniu klient dostaje nowy token lub musi przejść proces od początku.
Taki schemat pozbawia serwer obowiązku przechowywania sesji. W architekturze mikroserwisów każdy serwis może lokalnie zweryfikować jwt tokens i nie dzwonić do centralnego magazynu.
Co można umieścić w token JWT
W ładunku warto przechowywać tylko te dane, które naprawdę są potrzebne do podjęcia decyzji autoryzacyjnej:
- identyfikator użytkownika (
sub), - role lub uprawnienia (
role,scope), - datę wydania (
iat) i wygaśnięcia (exp), - identyfikator klienta lub aplikacji (
aud), - nazwę wystawcy (
iss).
Unika się danych wrażliwych (np. hasła, numerów kart), bo choć token można zaszyfrować, w większości projektów przekazuje się go tylko podpisanego.
Zalety tokenu JWT – więcej niż wygodny format
- Bezstanowość – serwer nie trzyma tabeli sesji.
- Skalowalność – nowe instancje mikroserwisów od razu potrafią uwierzytelnić klienta.
- Kompaktowy rozmiar – łatwo wchodzi do nagłówka lub parametru URL.
- Elastyczne claimy – można dostosować zawartość bez przebudowy bazy.
- Single Sign-On – jeden token jwt otwiera drzwi do wielu usług.
Gdzie JSON Web Token sprawdza się najlepiej
Architektura mikroserwisów
Każdy serwis niezależnie weryfikuje jwt tokens, co usuwa wąskie gardło wspólnej bazy sesji.
Aplikacje mobilne i SPA
Brak ciasteczek sesyjnych sprawia, że front kończy każdy request z nagłówkiem Authorization. To ułatwia CORS i komunikację z API.
Bramy API i IoT
Urządzenia mogą przechowywać token w pamięci i wysyłać go do bramy bez utrzymywania długiej sesji.
Bezpieczeństwo – dobre praktyki przy korzystaniu z token JWT
- ustawiaj krótki czas życia (
exp) i odświeżaj tokeny za pomocą refresh tokenu, - używaj silnych kluczy i obracaj je cyklicznie,
- zawsze przekazuj token przez HTTPS,
- nie trzymaj go w localStorage, gdy obawiasz się XSS; rozważ
httpOnlycookie z polityką SameSite, - waliduj claimy (
aud,iss,iat) – atakujący czasem próbuje podmienić odbiorcę lub wystawcę, - unikaj przechowywania danych osobowych w ładunku; token jwt nie jest sejfem na wrażliwe pola.
Czy JWT ma wady?
Owszem. Jeśli zgubisz klucz prywatny, każdy wcześniejszy token podpisany tym kluczem staje się podejrzany. Gdy ustawisz zbyt długi okres ważności, nie odwołasz uprawnień natychmiast. Dlatego wrażliwe aplikacje kombinują: krótko żyjący access token plus długowieczny refresh token przechowywany w bezpiecznym ciasteczku.
Często zadawane pytania o json web token
Czy token trzeba szyfrować?
Podpis zwykle wystarcza. Szyfrowanie (JWE) przydaje się, gdy naprawdę musisz ukryć ładunek przed oczami klienta.
Jak długi może być jwt token?
Standard nie narzuca limitu, ale serwery i przeglądarki różnie traktują wielkie nagłówki. Praktyka mówi: utrzymuj rozmiar poniżej 8 KB.
Czy token jwt można unieważnić?
Najprościej skrócić czas ważności. W krytycznych przypadkach stosuje się listę cofniętych identyfikatorów (jti) lub zmianę klucza podpisującego.
Czym różni się JWT od SAML?
SAML używa XML i jest większy, przez co gorzej nadaje się do mobilnych API. JSON web token w formacie Base64URL wchodzi w lekkie nagłówki bez bólu.
Podsumowanie
JSON Web Token stał się złotym standardem nowoczesnych aplikacji, bo łączy bezstanowość serwera, niewielki rozmiar i kryptograficzne bezpieczeństwo. Gdy wiesz już, json web token ułatwia autoryzację i wymianę informacji w mikroserwisach, mobilnych klientach i bramach API, sprawdź, czy w Twoim projekcie nie leży on na wyciągnięcie ręki. Dzięki niemu większa skalowalność i prostsze logowanie mogą okazać się bliżej, niż myślisz.
