JWT в Spring Boot: что это и как реализовать

Если ты когда-нибудь работал с авторизацией, то наверняка сталкивался с термином JWT токен. Почему его так любят Java-разработчики? И главное — как его правильно внедрить в проект на Spring Boot? Давай разбираться по порядку.

А пройти курсы по джава спринг ты можешь в компании FoxmindEd.

Что такое JWT и зачем он нужен в Spring Boot?

JWT (JSON Web Token) — это компактный способ передачи данных, который состоит из трёх частей: заголовка, полезной нагрузки и подписи. 

Основные принципы работы JWT

JWT — это не просто набор символов, а структурированный объект, разделённый на три части: заголовок, полезная нагрузка и подпись. Приведем JWT Java пример: это что-то вроде контейнера, в котором информация о пользователе и правах доступа зашифрована и подписана. 

Почему JWT популярен для авторизации?

Основная фишка JWT — в его автономности. Токен не требует серверного хранилища: всё, что нужно, уже записано внутри него. Это облегчает масштабирование приложений, особенно в мире микросервисов.

JWT vs Сессии: в чём разница?

Сессии требуют, чтобы сервер хранил данные о каждом пользователе. В данном случае JWT авторизация работает так: токен сам содержит все нужные данные, так что серверу ничего не нужно запоминать.

Однако, как и с любым инструментом, с JWT нужно быть осторожным. Уязвимости, такие как replay-атаки (повторное использование токенов), могут нанести ущерб, если не соблюдать меры предосторожности.

FoxmindEd — это учебный центр с большим выбором направлений курсов для новичков и программистов с опытом!

Начинаете свой путь в IТ? Попробуйте стартовые IT курсы

Имеете базовые навыки программирования? Тогда вам на курсы формата Менторинг

Хотите углубить свои знания в IТ? У нас есть курсы для middle/senior

Как работает JWT: разбор структуры

Чтобы понять, как это всё устроено, разберёмся, из чего состоит JWT.

Заголовок (Header)

Заголовок — это «шапка» токена. Обычно здесь указывается тип токена (JWT) и используемый алгоритм шифрования, например, HS256.

Пример:

{

  "alg": "HS256",

  "typ": "JWT"

}

Полезная нагрузка (Payload)

Полезная нагрузка — это то, где хранится основная информация: ID пользователя, его роли, время действия токена и т.д. Важно понимать, что данные не шифруются, а просто кодируются в Base64URL.

Подпись (Signature)

Третий компонент защищает от вмешательства. Подпись формируется с использованием заголовка, полезной нагрузки и секретного ключа.

Процесс шифрования и верификации токенов

Шифрование токенов — это как сейф с паролем, а верификация — проверка, что сейф не вскрывали. JWT создаётся сервером, подписывается ключом и затем проверяется при каждом запросе.

Пошаговая реализация JWT в Spring Boot

Теперь к практике. Как внедрить JWT в проект?..

Настройка проекта Spring Boot

Начни с создания нового Spring Boot проекта. Подключи зависимости:

<dependency>

    <groupId>io.jsonwebtoken</groupId>

    <artifactId>jjwt</artifactId>

    <version>0.9.1</version>

</dependency>

Создание модели для токена

Далее создай класс JwtToken. Он будет представлять наш токен и содержать информацию вроде ID пользователя, роли и срока действия.

Генерация и верификация токенов

Использовать JWT в Java можно благодаря библиотеке JJWT. Вот пример генерации токена:

String token = Jwts.builder()

    .setSubject("user123")

    .setExpiration(new Date(System.currentTimeMillis() + 86400000))

    .signWith(SignatureAlgorithm.HS256, "mySecretKey123") // Use a secure key!

    .compact();

Здесь ключ «mySecretKey123» — это только пример. В реальных приложениях используй сложные секреты, а лучше — асимметричные ключи.

Добавление фильтров для безопасности

Включи JWT фильтр в цепочку фильтров Spring Security, чтобы перехватывать и проверять токены в каждом запросе.

Пример использования JWT в Spring Boot

Создание эндпоинта для входа

Реализуй контроллер, принимающий логин и пароль, а затем возвращающий токен:

@PostMapping("/login")

public ResponseEntity<?> login(@RequestBody UserCredentials credentials) {

    // Token generation

    String token = jwtService.generateToken(credentials.getUsername());

    return ResponseEntity.ok(token);

}

Реализация авторизации с помощью JWT

Реализовать JWT авторизацию можно быстро с использованием Spring Boot. Основной сценарий выглядит так: пользователь отправляет свои данные для входа, а сервер возвращает ему токен, который он затем передаёт с каждым запросом к защищённым маршрутам.

Проверка токена в защищённых маршрутах

Создай фильтр, который проверяет, что токен действителен, и извлекает данные о пользователе.

Преимущества и ограничения использования JWT

Почему JWT улучшает безопасность?

Как мы уже поняли, Jwt java это​ — удобный формат токенов, который помогает улучшить процессы авторизации и передачи данных в безопасной форме.

Он защищён цифровой подписью, не требует хранения на сервере и ускоряет работу системы.

Возможные уязвимости JWT

Но и у него есть свои слабости: утечка секретного ключа, повторное использование токенов.

Как минимизировать риски при использовании JWT?

Используй HTTPS, короткий срок действия токенов, обновляй ключи и внедряй refresh token для перегенерации.