Какие знаешь альтернативы JWT?

Альтернативы JWT для аутентификации и авторизации

JWT (JSON Web Token) популярен, но у него есть альтернативы с разными подходами к безопасности, простоте и масштабируемости.

1. Session-based Authentication (Cookie)

# Классический подход — сохранение сессии на сервере
from flask import Flask, session, request
from flask_session import Session
import redis

app = Flask(__name__)
app.config['SESSION_TYPE'] = 'redis'
app.config['SESSION_REDIS'] = redis.from_url('redis://localhost:6379')
Session(app)

@app.route('/login', methods=['POST'])
def login():
    user = authenticate_user(request.json)
    if user:
        session['user_id'] = user.id
        session['username'] = user.username
        return {"message": "Logged in"}
    return {"error": "Invalid credentials"}, 401

@app.route('/protected')
def protected():
    if 'user_id' not in session:
        return {"error": "Unauthorized"}, 401
    return {"user_id": session['user_id']}

@app.route('/logout', methods=['POST'])
def logout():
    session.clear()
    return {"message": "Logged out"}

# ✅ Плюсы:
# - Легко отозвать сессию (logout)
# - Можно менять права пользователя без переLogin
# - Защита от CSRF встроена
# - Менее уязвим для XSS

# ❌ Минусы:
# - Требует хранилища на сервере (Redis, Database)
# - Не масштабируется на микросервисы
# - CORS сложнее
# - Клиент не может кэшировать инфо о себе

2. OAuth 2.0

# OAuth 2.0 — делегированная авторизация
from authlib.integrations.flask_client import OAuth

oauth = OAuth()
google = oauth.register(
    name='google',
    client_id='YOUR_CLIENT_ID',
    client_secret='YOUR_CLIENT_SECRET',
    server_metadata_url='https://accounts.google.com/.well-known/openid-configuration',
    client_kwargs={'scope': 'openid profile email'}
)

@app.route('/login')
def login():
    # Перенаправить на Google
    return google.authorize_redirect(redirect_uri=url_for('auth'))

@app.route('/auth')
def auth():
    # Получить токен от Google
    token = google.authorize_access_token()
    user_info = token['userinfo']
    # Создать локальную сессию
    session['user'] = user_info
    return redirect('/')

# ✅ Плюсы:
# - Не нужно хранить пароли (делегируем провайдеру)
# - Стандарт индустрии
# - Поддержка множества провайдеров (Google, GitHub, Facebook)
# - Двухфакторная аутентификация встроена

# ❌ Минусы:
# - Зависит от третьего сервиса
# - Сложнее в настройке
# - Требует интернета

3. OpenID Connect

# OpenID Connect — слой аутентификации на OAuth 2.0
from authlib.integrations.flask_client import OAuth

oauth = OAuth()
oidc = oauth.register(
    name='oidc',
    client_id='YOUR_CLIENT_ID',
    client_secret='YOUR_CLIENT_SECRET',
    server_metadata_url='https://your-oidc-provider.com/.well-known/openid-configuration',
    client_kwargs={'scope': 'openid profile email'}
)

@app.route('/login')
def login():
    return oidc.authorize_redirect()

@app.route('/callback')
def callback():
    token = oidc.authorize_access_token()
    user = token.get('userinfo')
    # Проверить подпись
    id_token = token['id_token']
    return {"user": user}

# ✅ Плюсы:
# - Безопаснее чем OAuth (аутентификация, не только авторизация)
# - ID token подписан и можно проверить
# - Стандарт индустрии

# ❌ Минусы:
# - Требует OIDC provider
# - Сложнее в настройке
# - Для мобильных приложений требует дополнительных шагов

4. SAML 2.0

# SAML — используется в корпоративных системах
from flask_saml2 import FlaskSAML2
from saml2.config import Config as SAML2Config

app = Flask(__name__)
saml = FlaskSAML2(app)

saml_config = {
    'metadata': {'remote': [{
        'url': 'https://idp.example.com/metadata.xml',
    }]},
}

@app.route('/saml/login')
def saml_login():
    return saml.login()

@app.route('/saml/acs', methods=['POST'])
def saml_acs():
    # Assertion Consumer Service
    user = saml.get_user_info()
    session['user'] = user
    return redirect('/')

# ✅ Плюсы:
# - Стандарт для корпоративных сред
# - Высокий уровень безопасности
# - Поддержка SSO (Single Sign-On)

# ❌ Минусы:
# - Сложная конфигурация
# - XML вместо JSON
# - Оверкилл для веб-приложений
# - Требует IDP

5. Kerberos/SPNEGO

# Kerberos — для интранета
from flask_httpauth import HTTPKerberosAuth

auth = HTTPKerberosAuth()

@app.route('/protected')
@auth.login_required
def protected():
    return {"user": auth.current_user()}

# ✅ Плюсы:
# - Встроено в Windows/LDAP
# - Очень безопасный
# - Нет передачи пароля

# ❌ Минусы:
# - Только для интранета
# - Требует сложной настройки
# - Не работает через интернет

6. Mutual TLS (mTLS)

# Mutual TLS — шифрование на уровне транспорта
import ssl
from flask import Flask

app = Flask(__name__)

# На сервере
ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
ssl_context.load_cert_chain(
    certfile='server.crt',
    keyfile='server.key'
)
ssl_context.verify_mode = ssl.CERT_REQUIRED
ssl_context.load_verify_locations('client-certs/ca.crt')

# На клиенте
import requests
response = requests.get(
    'https://example.com/api',
    cert=('client.crt', 'client.key'),
    verify='server-ca.crt'
)

# ✅ Плюсы:
# - Двусторонняя аутентификация
# - На уровне транспорта
# - Очень безопасный

# ❌ Минусы:
# - Сложно управлять сертификатами
# - Требует инфраструктуры PKI
# - Оверкилл для веб-приложений

7. API Key (Token)

# Простой подход — постоянные токены
from fastapi import FastAPI, Header, HTTPException

app = FastAPI()

VALID_TOKENS = {
    "sk_live_abc123def456": {"user_id": 1, "name": "Alice"},
    "sk_live_xyz789uvw456": {"user_id": 2, "name": "Bob"},
}

async def verify_token(authorization: str = Header(...)):
    if not authorization.startswith("Bearer "):
        raise HTTPException(status_code=401, detail="Invalid token")
    
    token = authorization[7:]  # Remove "Bearer "
    if token not in VALID_TOKENS:
        raise HTTPException(status_code=401, detail="Invalid token")
    
    return VALID_TOKENS[token]

@app.get("/protected")
async def protected(user: dict = depends(verify_token)):
    return {"user": user}

# ✅ Плюсы:
# - Очень простой
# - Легко отозвать
# - Хорош для API интеграций

# ❌ Минусы:
# - Требует хранилища на сервере
# - Нет встроенного срока действия
# - Нет метаинформации в токене

8. Passwordless Authentication

# Magic Link — отправляем ссылку на email
from datetime import datetime, timedelta
from secrets import token_urlsafe

magic_links = {}  # {token: {user_id, expires}}

@app.post("/login")
def request_magic_link(email: str):
    user = User.get_by_email(email)
    token = token_urlsafe(32)
    magic_links[token] = {
        'user_id': user.id,
        'expires': datetime.utcnow() + timedelta(hours=1)
    }
    # Отправить email со ссылкой
    send_email(email, f"/login/{token}")
    return {"message": "Check your email"}

@app.get("/login/{token}")
def magic_login(token: str):
    if token not in magic_links:
        raise HTTPException(status_code=401, detail="Invalid token")
    
    link = magic_links[token]
    if link['expires'] < datetime.utcnow():
        del magic_links[token]
        raise HTTPException(status_code=401, detail="Token expired")
    
    # Создать сессию
    session['user_id'] = link['user_id']
    del magic_links[token]
    return {"message": "Logged in"}

# ✅ Плюсы:
# - Безопаснее чем пароли
# - Хороша для мобильных
# - Простая для пользователя

# ❌ Минусы:
# - Требует отправки email
# - Требует хранилища токенов
# - Медленнее чем пароль

Сравнительная таблица

Метод              | Безопасность | Масштаб | SSO | CORS | Отзыв
================================================================
Session (Cookie)   | ★★★★★       | ★★★    | ★   | ★    | ★★★★★
OAuth 2.0          | ★★★★        | ★★★★★  | ★★★★| ★★★★| ★★
OpenID Connect     | ★★★★★       | ★★★★★  | ★★★★| ★★★★| ★★★
SAML 2.0           | ★★★★★       | ★★★    | ★★★★| ★★  | ★★
Kerberos           | ★★★★★       | ★★     | ★★★★| ★   | ★★★★
mTLS               | ★★★★★       | ★★★    | ★   | ★   | ★★★★
API Key            | ★★★         | ★★★★   | ★   | ★★★ | ★★★★
Magic Link         | ★★★★        | ★★★★   | ★★  | ★★★★| ★★★★
JWT                | ★★★         | ★★★★★  | ★   | ★★★★| ★

Как выбрать?

# Монолитное приложение на Flask/Django
→ Session-based (Cookie)

# Микросервисы и микрофронтенды
→ JWT или OAuth 2.0

# Мобильное приложение
→ OAuth 2.0 или Magic Link

# API интеграции (Stripe, GitHub)
→ API Key

# Корпоративная система
→ SAML 2.0 или OpenID Connect

# Интранет (Windows/LDAP)
→ Kerberos

# Микросервисы в K8S
→ mTLS

# Высокая безопасность
→ Сочетать OAuth 2.0 + mTLS

Итоги

JWT хорош для:

• Микросервисов и распределённых систем
• Мобильных приложений
• Stateless архитектур

Но альтернативы лучше для:

• Простых веб-приложений (Session)
• Корпоративных сред (SAML, OpenID Connect)
• Быстрого отзыва доступа (Cookie sessions)
• API интеграций (API Keys)
• Максимальной безопасности (mTLS + OAuth)