Какие плюсы и минусы JWT?

# Плюсы и минусы JWT (JSON Web Tokens)

JWT стал стандартом для аутентификации и авторизации в современных приложениях. Однако, как и любая технология, он имеет значительные преимущества и недостатки.

Что такое JWT?

JWT — это токен в формате JSON, состоящий из трех частей, разделенных точками:

header.payload.signature

• Header: тип токена и алгоритм подписания (usually base64url encoded)
• Payload: данные пользователя (claims) — base64url encoded
• Signature: HMAC/RSA подпись для проверки целостности

Плюсы JWT

1. Stateless Authentication

Преимущество: Сервер не нужно хранить информацию о сессиях.

@RestController
public class UserController {
    @GetMapping("/user")
    public ResponseEntity<User> getUser(@RequestHeader("Authorization") String token) {
        Claims claims = Jwts.parserBuilder()
            .setSigningKey(secret)
            .build()
            .parseClaimsJws(token.replace("Bearer ", ""))
            .getBody();
        
        Long userId = Long.parseLong(claims.getSubject());
        return ResponseEntity.ok(userService.findById(userId));
    }
}

Результат: Масштабируемость без синхронизации сессий между серверами.

2. Масштабируемость и Microservices

Преимущество: Идеален для распределенных систем и микросервисов.

@PostMapping("/login")
public ResponseEntity<String> login(@RequestBody LoginRequest req) {
    String token = Jwts.builder()
        .setSubject(user.getId().toString())
        .claim("email", user.getEmail())
        .claim("roles", user.getRoles())
        .setIssuedAt(new Date())
        .setExpiration(new Date(System.currentTimeMillis() + 3600000))
        .signWith(SignatureAlgorithm.HS256, secret)
        .compact();
    return ResponseEntity.ok(token);
}

3. Cross-Origin Resource Sharing (CORS)

Преимущество: Хорошо работает с CORS и мобильными приложениями. Cookies не работают хорошо с CORS, JWT работает везде.

4. Mobile-Friendly

Преимущество: Идеален для мобильных приложений, которые сохраняют JWT локально и отправляют его в каждом запросе.

5. Information Contained in Token

Преимущество: Все нужные данные в самом токене, не требуется дополнительный БД запрос.

Claims claims = parseJWT(token);
String email = claims.get("email", String.class);
List<String> roles = claims.get("roles", List.class);

Минусы JWT

1. Token Revocation (Отзыв токена)

Проблема: Токен действителен до истечения срока, невозможно отозвать немедленно.

String token = generateJWT(user); // exp: 1 час

@Component
public class TokenBlacklist {
    private Set<String> blacklist = new ConcurrentHashSet<>();
    
    public void blacklistToken(String token) {
        blacklist.add(token);
    }
    
    public boolean isBlacklisted(String token) {
        return blacklist.contains(token);
    }
}

2. Size and Bandwidth

Проблема: JWT больше по размеру, чем обычный session ID (примерно в 80 раз). Для миллионов запросов это значительный overhead.

3. JWT Cannot Be Updated

Проблема: Если нужно изменить роли/разрешения, требуется переиздание токена.

@GetMapping("/admin")
public ResponseEntity<String> adminOnly(@RequestHeader("Authorization") String token) {
    Claims claims = parseJWT(token);
    Long userId = Long.parseLong(claims.getSubject());
    
    User user = userService.findById(userId);
    if (!user.hasAdminRole()) {
        return ResponseEntity.status(403).build();
    }
    return ResponseEntity.ok("Admin area");
}

4. Security Concerns (XSS/CSRF)

Проблема: Хранение JWT в localStorage уязвимо для XSS атак.

Решение: Использовать HttpOnly cookies:

response.addHeader("Set-Cookie", 
    "token=" + jwt + "; HttpOnly; Secure; SameSite=Strict");

5. Token Payload Exposure

Проблема: JWT payload кодирован (base64url), но не зашифрован. Любой может декодировать и увидеть данные.

Решение: Не хранить sensitive данные в JWT или использовать JWE для шифрования.

6. Complex Permissions Logic

Проблема: Сложная логика разрешений требует проверок в БД, что нарушает идею stateless-ности.

Сравнительная таблица: JWT vs Session

Рекомендации по использованию

Использовать JWT когда:

• Мобильные приложения
• Микросервисная архитектура
• API с высокой нагрузкой
• Требуется CORS
• Масштабируемость критична

НЕ использовать JWT когда:

• Нужна немедленное отзыв токена
• Монолитное приложение с сессиями
• Bandwidth критичен
• Complex permissions
• Часто обновляются данные пользователя

Best Practices

// 1. Используй refresh tokens
String accessToken = generateAccessToken(user);   // 15 минут
String refreshToken = generateRefreshToken(user); // 7 дней

// 2. HttpOnly cookies для хранения
response.addHeader("Set-Cookie", 
    "accessToken=" + accessToken + "; HttpOnly; Secure; SameSite=Strict");

// 3. HTTPS обязателен
// 4. Подписывай и валидируй токены
// 5. Устанавливай expiration
// 6. Не храни sensitive данные
// 7. Используй strong secret ключи
// 8. Реализуй blacklist для критичных операций

JWT — мощный инструмент для аутентификации в современных распределенных приложениях, но требует правильного использования и понимания его ограничений.