JWT у Spring Boot: що це і як реалізувати

Якщо ти коли-небудь працював з авторизацією, то напевно стикався з терміном JWT токен. Чому його так люблять Java-розробники? І головне – як його правильно впровадити в проєкт на Spring Boot? Давай розбиратися по порядку.

А пройти курси з джава спрінг ти можеш у компанії FoxmindEd.

Що таке JWT і навіщо він потрібен у Spring Boot?

JWT (JSON Web Token) – це компактний спосіб передавання даних, який складається з трьох частин: заголовка, корисного навантаження і підпису.

Основні принципи роботи JWT

JWT – це не просто набір символів, а структурований об’єкт, розділений на три частини: заголовок, корисне навантаження і підпис. Наведемо JWT Java приклад: це щось на кшталт контейнера, в якому інформація про користувача і права доступу зашифрована і підписана.

Чому JWT популярний для авторизації?

Основна фішка JWT – у його автономності. Токен не потребує серверного сховища: все, що потрібно, вже записано всередині нього. Це полегшує масштабування додатків, особливо у світі мікросервісів.

JWT vs Сесії: у чому різниця?

Сесії вимагають, щоб сервер зберігав дані про кожного користувача. У цьому випадку JWT авторизація працює так: токен сам містить усі потрібні дані, тож серверу нічого не потрібно запам’ятовувати.

Однак, як і з будь-яким інструментом, з JWT потрібно бути обережним. Уразливості, такі як replay-атаки (повторне використання токенів), можуть завдати шкоди, якщо не дотримуватися запобіжних заходів.

FoxmindEd – це навчальний центр, що має велику різноманітність напрямків курсів для новачків та програмістів з досвідом!

Тільки починаєте свій шлях в ІТ? Спробуйте стартові ІТ курси

Вже маєте базові навички програмування? Тоді
курси формату Менторинг саме для вас.

Хочете поглибити свої знання в ІТ? Ми маємо курси middle/senior

Як працює JWT: розбір структури

Щоб зрозуміти, як це все влаштовано, розберемося, з чого складається JWT.

Заголовок

Заголовок – це “шапка” токена. Зазвичай тут вказується тип токена (JWT) і використовуваний алгоритм шифрування, наприклад, HS256.

Приклад:

{

  "alg": "HS256",

  "typ": "JWT"

}

Корисне навантаження

Корисне навантаження – це те, де зберігається основна інформація: ID користувача, його ролі, час дії токена тощо. Важливо розуміти, що дані не шифруються, а просто кодуються в Base64URL.

Підпис (Signature)

Третій компонент захищає від втручання. Підпис формується з використанням заголовка, корисного навантаження і секретного ключа.

Процес шифрування та верифікації токенів

Шифрування токенів – це як сейф із паролем, а верифікація – перевірка, що сейф не розкривали. JWT створюється сервером, підписується ключем і потім перевіряється при кожному запиті.

Покрокова реалізація JWT у Spring Boot

Тепер до практики. Як впровадити JWT у проєкт?

Налаштування проекту Spring Boot

Почни зі створення нового Spring Boot проєкту. Підключи залежності:

<dependency>

    <groupId>io.jsonwebtoken</groupId>

    <artifactId>jjwt</artifactId>

    <version>0.9.1</version>

</dependency>

Створення моделі для токена

Далі створи клас JwtToken. Він представлятиме наш токен і міститиме інформацію на кшталт ID користувача, ролі та терміну дії.

Генерація та верифікація токенів

Використовувати JWT у Java можна завдяки бібліотеці JJWT. Ось приклад генерації токена:

String token = Jwts.builder()

    .setSubject("user123")

    .setExpiration(new Date(System.currentTimeMillis() + 86400000))

    .signWith(SignatureAlgorithm.HS256, "mySecretKey123") // Use a secure key!

    .compact();

Тут ключ “mySecretKey123” – це тільки приклад. У реальних додатках використовуй складні секрети, а краще – асиметричні ключі.

Додавання фільтрів для безпеки

Включи JWT фільтр у ланцюжок фільтрів Spring Security, щоб перехоплювати і перевіряти токени в кожному запиті.

Приклад використання JWT у Spring Boot

Створення ендпоінту для входу

Реалізуй контролер, який приймає логін і пароль, а потім повертає токен:

@PostMapping("/login")

public ResponseEntity<?> login(@RequestBody UserCredentials credentials) {

    // Token generation

    String token = jwtService.generateToken(credentials.getUsername());

    return ResponseEntity.ok(token);

}

Реалізація авторизації за допомогою JWT

Реалізувати JWT авторизацію можна швидко з використанням Spring Boot. Основний сценарій виглядає так: користувач надсилає свої дані для входу, а сервер повертає йому токен, який він потім передає з кожним запитом до захищених маршрутів.

Перевірка токена в захищених маршрутах

Створи фільтр, який перевіряє, що токен дійсний, і витягує дані про користувача.

Переваги та обмеження використання JWT

Чому JWT покращує безпеку?

Як ми вже зрозуміли, Jwt java це – зручний формат токенів, який допомагає поліпшити процеси авторизації та передачі даних у безпечній формі.

Він захищений цифровим підписом, не потребує зберігання на сервері та прискорює роботу системи.

Можливі вразливості JWT

Але й у нього є свої слабкості: витік секретного ключа, повторне використання токенів.

Як мінімізувати ризики під час використання JWT?

Використовуй HTTPS, короткий термін дії токенів, оновлюй ключі та впроваджуй refresh token для перегенерації.