JWT — jak wygląda pełna weryfikacja tokenu?

JWT to format przenoszenia claims. Podpisany token pozwala sprawdzić integralność, ale jego payload zwykle można odczytać bez sekretu.

Przepływ: po logowaniu serwer wydaje token; API przy każdym żądaniu weryfikuje podpis, dozwolony algorytm, czas ważności i wymagane claims, np. issuer i audience. Dopiero potem sprawdza uprawnienia do zasobu.

Doprecyzowanie: samo decode nie weryfikuje podpisu. Wylogowanie, rotacja i unieważnienie wymagają osobnego projektu. Miejsce przechowywania tokenu wpływa na ochronę XSS i CSRF.

Pułapka: w payloadzie nie umieszczam sekretów. JWT nie daje automatycznie bezpiecznej autoryzacji ani nie zastępuje HTTPS.