Como usar JWT (JSON Web Token) C

O que é JWT (JSON Web Token)?

JWT, ou JSON Web Token, é um padrão aberto (RFC 7519) que define um método compacto e autônomo para transmitir informações de forma segura entre partes como um objeto JSON. Essas informações podem ser verificadas e confiáveis, pois são assinadas digitalmente. Os tokens podem ser assinados usando um segredo (com o algoritmo HMAC) ou um par de chaves pública/privada usando RSA ou ECDSA.

Telegram

Receba novidads e promoções no nosso canal no Telegram

Saiba Mais

Como funciona o JWT?

O funcionamento do JWT é baseado em três partes principais: o cabeçalho, o payload e a assinatura. O cabeçalho geralmente consiste em dois partes: o tipo do token, que é JWT, e o algoritmo de assinatura, como HMAC SHA256 ou RSA. O payload contém as declarações (claims), que são as informações que queremos transmitir. Por fim, a assinatura é gerada combinando o cabeçalho codificado, o payload codificado e uma chave secreta, garantindo que o token não tenha sido alterado.

Estrutura de um JWT

Um JWT é composto por três partes separadas por pontos (.). A primeira parte é o cabeçalho, a segunda parte é o payload e a terceira parte é a assinatura. Por exemplo: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c. Cada parte é codificada em Base64Url, o que permite que o token seja transmitido de forma compacta.

Vantagens do uso de JWT

Uma das principais vantagens do uso de JWT é a sua capacidade de ser autônomo. Isso significa que todas as informações necessárias para autenticar um usuário estão contidas no próprio token, eliminando a necessidade de consultar um banco de dados a cada requisição. Além disso, o JWT é leve e pode ser facilmente transmitido em um cabeçalho HTTP, tornando-o ideal para aplicações web e mobile.

Como gerar um JWT?

Para gerar um JWT, você precisa de uma biblioteca que suporte a criação de tokens. A maioria das linguagens de programação modernas possui bibliotecas para isso. O processo geralmente envolve a criação do cabeçalho e do payload, seguido pela assinatura do token usando uma chave secreta. Por exemplo, em Node.js, você pode usar a biblioteca jsonwebtoken para gerar um token com apenas algumas linhas de código.

Como usar JWT na autenticação?

Na autenticação, o JWT é frequentemente utilizado para verificar a identidade do usuário. Após o login, o servidor gera um token e o envia para o cliente. O cliente armazena esse token (geralmente no armazenamento local ou em um cookie) e o envia em cada requisição subsequente no cabeçalho Authorization. O servidor então valida o token e, se for válido, permite o acesso aos recursos protegidos.

Validação de um JWT

A validação de um JWT é um passo crucial para garantir a segurança da aplicação. O servidor deve verificar a assinatura do token usando a mesma chave que foi utilizada para assiná-lo. Além disso, é importante verificar as claims, como a data de expiração (exp) e o emissor (iss), para garantir que o token ainda é válido e foi emitido por uma fonte confiável.

JWT e CORS

Quando se utiliza JWT em aplicações web, é importante considerar as políticas de CORS (Cross-Origin Resource Sharing). O JWT pode ser enviado em requisições AJAX, mas é necessário configurar corretamente os cabeçalhos CORS no servidor para permitir que o navegador aceite as respostas. Isso é especialmente relevante em aplicações que fazem chamadas a APIs em domínios diferentes.

Desvantagens do uso de JWT

Apesar das suas vantagens, o uso de JWT também apresenta desvantagens. Uma delas é que, uma vez que um token é emitido, ele não pode ser invalidado até que expire. Isso pode ser problemático em casos de logout ou se um token for comprometido. Além disso, o tamanho do token pode aumentar rapidamente se muitas claims forem adicionadas, impactando a performance da aplicação.