Какой был механизм авторизации с использованием токена?

Механизмы авторизации с использованием токена

Авторизация с токеном — это современный подход для аутентификации и авторизации в веб-приложениях. Вместо передачи пароля каждый раз, клиент использует токен для подтверждения своей личности.

JWT (JSON Web Token)

JWT — наиболее популярный механизм авторизации на основе токена. Это самоподписанный токен, содержащий закодированную информацию о пользователе.

Структура JWT состоит из трёх частей:

• Header — тип токена и алгоритм хеширования
• Payload — данные пользователя (user_id, email, роли и т.д.)
• Signature — цифровая подпись для проверки целостности

// Генерация JWT
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

String token = Jwts.builder()
    .setSubject(user.getId())
    .claim("email", user.getEmail())
    .claim("roles", user.getRoles())
    .setIssuedAt(new Date())
    .setExpiration(new Date(System.currentTimeMillis() + 3600000))
    .signWith(SignatureAlgorithm.HS512, secretKey)
    .compact();

OAuth 2.0

OAuth 2.0 — стандартный протокол авторизации, используемый для интеграции с внешними сервисами (Google, Facebook, GitHub).

Этапы OAuth 2.0:

1. Пользователь кликает "Вход через Google"
2. Приложение перенаправляет на Google для аутентификации
3. Google выдаёт authorization code
4. Приложение обменивает code на access token
5. Приложение использует access token для доступа к ресурсам

Bearer Token

Bearer Token — простой механизм передачи токена в HTTP заголовке Authorization.

// Отправка запроса с Bearer токеном
GET /api/users HTTP/1.1
Host: api.example.com
Authorization: Bearer eyJhbGciOiJIUzUxMiJ9...

Сессионные токены (Session Token)

Традиционный подход, где сервер хранит сессию пользователя в памяти или БД.

// Пример с Spring Security
@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/public/**").permitAll()
                .antMatchers("/api/private/**").authenticated()
            .and()
            .httpBasic();
        return http.build();
    }
}

Refresh Token

Механизм с двумя токенами:

• Access Token — короткоживущий (15 мин), для доступа к ресурсам
• Refresh Token — долгоживущий (7 дней), для получения нового access token

// Проверка и обновление токена
if (isAccessTokenExpired(token)) {
    String newAccessToken = refreshAccessToken(refreshToken);
    return newAccessToken;
}

API Key

Простой механизм для API авторизации. Клиент передаёт ключ в заголовке.

GET /api/data HTTP/1.1
X-API-Key: sk_live_abc123xyz789

Сравнение механизмов

Лучшие практики

1. HTTPS обязателен — всегда передавайте токены только по защищённому каналу
2. Короткие сроки действия — access token должен жить недолго (15-60 минут)
3. Защита от XSS — храните токены в httpOnly cookies
4. Ротация ключей — периодически меняйте секретные ключи для подписи
5. Валидация на сервере — всегда проверяйте токен перед выдачей данных

Пример с Spring Security и JWT

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    
    @Override
    protected void doFilterInternal(HttpServletRequest request, 
            HttpServletResponse response, FilterChain filterChain) {
        String token = extractTokenFromHeader(request);
        if (token != null && validateToken(token)) {
            String userId = extractUserIdFromToken(token);
            // Установка в SecurityContext
        }
    }
}

Вывод: JWT с Bearer токеном — это современный стандарт для авторизации в микросервисной архитектуре и SPA приложениях. Для интеграций с внешними сервисами используется OAuth 2.0. Рекомендуется всегда использовать HTTPS и refresh token для повышения безопасности.