Как реализовать аутентификацию через JWT токены

После успешной проверки логина и пароля сервер создает подписанный JWT с идентификатором пользователя и временем истечения и отдает его клиенту. Клиент на каждом запросе к защищенным ресурсам отправляет токен в заголовке Authorization: Bearer <token>. Сервер по этому токену проверяет подпись и срок жизни и, если всё корректно, считает пользователя аутентифицированным.

JWT (JSON Web Token) — это компактный токен из трех частей (заголовок, полезная нагрузка, подпись), закодированных в Base64 и склеенных точками. В полезной нагрузке обычно лежат клеймы: sub (id/логин пользователя), exp (время истечения), роли и другие атрибуты доступа. Токен подписывается секретным ключом или парой ключей, поэтому сервер может проверить, что его не подделали.

Типичный поток аутентификации через JWT в веб‑API:

• Клиент отправляет логин и пароль на эндпоинт, например /login.
• Сервер валидирует учетные данные (БД, внешний сервис и т.п.).
• Если всё верно, формируется полезная нагрузка токена (минимум sub и exp), и она подписывается алгоритмом вроде HS256 с использованием секретного ключа.
• Клиент получает токен и сохраняет его (часто в памяти приложения или в localStorage) и дальше отправляет в заголовке Authorization: Bearer <token>.
• На защищенных эндпоинтах сервер достает токен из заголовка, проверяет подпись и срок действия и по клеймам определяет пользователя и его права.
• Если подпись невалидна, токен просрочен или схема авторизации не Bearer, сервер отвечает 401/403.

Сервер при этом не хранит состояние сессии в памяти или БД — токен самодостаточен. Поэтому важно держать секретный ключ в защищенном месте (например, переменные окружения), задавать ограниченный срок жизни токена, не класть в него чувствительные данные (пароли, полные номера карт) и обязательно использовать HTTPS, чтобы токен не перехватывали.

Ниже упрощенный пример JWT‑аутентификации на FastAPI: генерация токена при логине и его валидация на защищенном маршруте. В реальных системах добавляют refresh‑токены, ротацию ключей, клеймы с ролями и механизмы принудительного выхода (чёрные списки токенов или смена ключа).