Що таке token based authentication?

Повне пояснення

Що це і навіщо Token-based authentication (JWT, OAuth2) дозволяє реалізувати безсесійний, масштабований доступ до API. Клієнт отримує токен після логіну і додає його у заголовок Authorization: Bearer <token>.

Ключові принципи

• Токен містить payload (userId, scopes) і підпис (HMAC або RSA).
• Сервер верифікує підпис, не звертаючись до сховища.
• Токен має строку дії (exp) і може бути відхилений за допомогою blacklist.

Як це працює

1. Клієнт надсилає логін/пароль.
2. Сервер генерує токен, підписує його і повертає клієнту.
3. Клієнт зберігає токен (localStorage, cookie) і додає у кожний запит.
4. Сервер верифікує токен, читає payload і дозволяє доступ.

Практика та реалізація (Node.js / NestJS)

// auth.service.ts
async login(dto: LoginDto) {
  const payload = { sub: user.id, roles: user.roles };
  return this.jwtService.sign(payload); // JWT
}

// auth.guard.ts
@UseGuards(JwtAuthGuard)
@Get('profile')
getProfile(@Request() req) {
  return req.user;
}

Тестування

• Unit: перевірка sign і verify з mock‑jwt.
• Integration: запит /login, отримання токену, використання у наступному GET.

Безпека

• Захист від XSS: зберігати токен у httpOnly cookie.
• CSRF: використання SameSite=Lax/Strict.
• Підпис з RSA‑ключем замість HMAC для підвищеної безпеки.

Особливості в контексті backend (NestJS, Express)

• NestJS має @nestjs/jwt і Passport для простого налаштування.
• Express можна реалізувати через middleware express-jwt.

Оптимізація

• Кешування токенів у Redis для швидкого blacklist‑підтримки.
• Мінімізація payload (тільки необхідні поля).

Часті помилки

1. Токен зберігається у localStorage → XSS.
2. Не встановлено SameSite → CSRF.
3. Використання слабкого HMAC‑ключа.
4. Не перевіряється exp → використання просроченого токена.
5. Токен не відхиляється після зміни пароля.
6. Підпис не перевіряється на сервері.
7. Токен передається у GET‑URL → логування.
8. Не обробляються помилки jwt expired → 401.

Cheatsheet

• JWT payload: { sub, exp, iat, roles }
• Header: Authorization: Bearer <token>
• Refresh token: окремий токен з довшою строкою дії, що обмінюється на новий access token.
• passport-jwt strategy: new JwtStrategy(opts, async (payload) => { ... })