Подготовка к интервью
Разбирайте реальные вопросы, сверяйтесь с подробными ответами и готовьтесь по технологиям и компаниям.
Проверьте, насколько резюме подходит выбранной позиции, и получите рекомендации по улучшению.
Каталог
JWT — формат передачи набора claims. Подписанный токен в компактной JWS-форме обычно состоит из header, payload и signature, разделённых точками; он позволяет проверять целостность заявлений и их источник.
Читать ответВ обычном подписанном JWT секреты хранить нельзя: payload закодирован, но не зашифрован и читается владельцем токена. Подпись защищает целостность, а не конфиденциальность.
Читать ответВ обычном подписанном JWT payload читается без секретного ключа: Base64URL — не шифрование. Пароли, API-ключи и другие секреты туда помещать не следует.
Читать ответИспользуйте проверенную JWT-библиотеку: сервер выпускает короткоживущий access token, API проверяет подпись, разрешённый алгоритм, issuer, audience и сроки действия. Декодирование без проверки недостаточно.
Читать ответStateless JWT проверяется без обращения к хранилищу сессий, но его сложно немедленно отозвать. Blacklist добавляет серверное состояние и проверку отзыва, увеличивая зависимость от хранилища.
Читать ответГлавные сложности JWT — отзыв до истечения срока, устаревшие claims, размер токена и риск неправильной проверки. Подписанный payload обычно открыт для чтения и не должен содержать секреты.
Читать ответJWT содержит структурированные claims, а не просто случайный набор символов. В распространённом подписанном формате это header, payload и signature; кодирование payload не делает его секретным.
Читать ответStateless JWT проверяют по подписи и claims без обращения к хранилищу сессий. Stateful-подход добавляет проверку состояния, например списка отозванных jti или версии сессии.
Читать ответJWT — формат передачи claims. Распространённый подписанный JWT состоит из header, payload и signature; подпись обеспечивает целостность, но не скрывает содержимое.
Читать ответОбычно используют короткоживущий access token для API и refresh token для получения нового access token. При этом refresh token не обязан иметь формат JWT.
Читать ответTiming attack использует зависимость времени сравнения от совпавшего префикса секретного значения. Константное по содержимому сравнение не прекращается на первом различии.
Читать ответНедостатки JWT — сложность досрочного отзыва, устаревание claims, размер токена и риск ошибок проверки. Подписанный payload читаем, а кража bearer-токена позволяет действовать до его истечения или отзыва.
Читать ответ