Подготовка к интервью
Разбирайте реальные вопросы, сверяйтесь с подробными ответами и готовьтесь по технологиям и компаниям.
Проверьте, насколько резюме подходит выбранной позиции, и получите рекомендации по улучшению.
Каталог
JWT задаёт переносимый формат claims, который можно подписать или зашифровать и передавать между сторонами. Подписанный токен позволяет проверять целостность данных без отдельного запроса к его издателю каждый раз.
Читать ответПодписанный JWT можно декодировать, потому что Base64URL не является шифрованием. Изменить его байты можно, но корректная проверка подписи обнаружит подмену без знания ключа.
Читать ответВ распространённом подписанном JWT заголовок, payload и подпись кодируются Base64URL без завершающего padding и разделяются точками. Заголовок и claims представлены JSON в UTF-8.
Читать ответAccess-токен проверяется на каждом защищённом запросе; refresh — только на endpoint обновления и по серверному состоянию сессии. Для немедленного отзыва JWT нужен stateful-механизм, не одна подпись.
Читать ответСамо знание алгоритма не позволяет подделать корректно подписанный JWT: алгоритмы публичны, безопасность опирается на секретный или закрытый ключ. Слабый ключ и ошибки проверки меняют ситуацию.
Читать ответДля подписанного JWT библиотека проверяет JWS над header и payload выбранным доверенным ключом. Хеширование даёт необратимый отпечаток, шифрование скрывает данные с возможностью расшифрования.
Читать ответТокен позволяет не передавать основной пароль каждому сервису и каждому запросу, ограничить срок и область доступа. JWT можно проверять локально по подписи, но он не обязателен: непрозрачные токены тоже подходят.
Читать ответПодписанный JWT позволяет проверять ограниченный набор утверждений без обращения к общему хранилищу сессий. Цена — более сложный отзыв и риск устаревших прав.
Читать ответС JWT магазин может локально проверить подпись и claims токена; с непрозрачной сессией обычно требуется общее хранилище или проверка у auth-сервиса.
Читать ответJWT — формат токена, OAuth — механизм делегирования доступа, OIDC добавляет аутентификацию. Это не взаимоисключающие варианты.
Читать ответСерверная сессия обычно хранит состояние доступа на backend по непрозрачному идентификатору; JWT переносит проверяемые claims в самом токене.
Читать ответОбычный подписанный JWT в компактном JWS-формате состоит из трёх частей через точку: header, payload с claims и signature.
Читать ответ