JWT: JSON Web Tokens qué son y con qué se comen

JWT (JSON Web Token) es un estándar para intercambiar información de forma segura entre dos partes (por ejemplo, cliente y servidor).

Es un token (una cadena de texto) que contiene datos en formato JSON.
Está firmado digitalmente, lo que garantiza que la información no fue alterada.
Se usa mucho en autenticación: cuando un usuario inicia sesión, el servidor le entrega un JWT que luego se envía en cada petición para demostrar que está autenticado.

¿Para qué sirve?

Autenticación: comprobar que un usuario está logueado sin necesidad de guardar su sesión en el servidor.
Autorización: verificar si el usuario tiene permisos para acceder a ciertos recursos.
Intercambio de información: transmitir datos de manera confiable entre sistemas.

Un JWT tiene 3 partes separadas por puntos:

HEADER.PAYLOAD.SIGNATURE

Ejemplo. Imagina que un usuario inicia sesión y el servidor le da este JWT:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJ1c2VySWQiOjEsInJvbGUiOiJhZG1pbiJ9
.sflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Header (decodificado):

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload (decodificado):

{
  "userId": 1,
  "role": "admin"
}

Signature: se genera con una clave secreta para validar que nadie lo cambió.

Veamos un diagrama donde se describe el logeo de un cliente :

Un uso práctico puede ser cuando el cliente hace una petición al servidor, envía el JWT en la cabecera:

Authorization: Bearer <token>

El servidor lo valida y, si es correcto, sabe quién es el usuario y qué permisos tiene.

Para más información puedes consultar el sitio: https://www.jwt.io/

Concluyendo, JWT es como un pase digital firmado que dice quién eres y qué puedes hacer, sin necesidad de que el servidor guarde tu sesión.

Continuaremos con este tema en próximas entregas.

Enlaces:

Alquimista de código