Три части через точку: header (алгоритм), payload (claims: sub, exp, роли), signature. Каждая — base64url. Payload не зашифрован — его может прочитать любой.
А ещё Шифрованный вариант — JWE
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Подпись позволяет проверить, что содержимое не подменяли, — именно поэтому серверу не нужно ходить в хранилище сессий, чтобы доверять токену. Критически важно понимать, что подпись не равна шифрованию: полезная нагрузка всего лишь закодирована и читается кем угодно, поэтому персональные данные и секреты туда не кладут. Второе следствие самодостаточности — токен нельзя отозвать до истечения срока, отсюда практика делать время жизни коротким.
Один верный вариант. Подумайте, потом откройте ответ.
Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto