Cos'e un token JWT e come eseguirne il debug

JWT (JSON Web Token) è uno standard aperto (RFC 7519) per il trasferimento sicuro di informazioni tra parti sotto forma di oggetto JSON. JWT è ampiamente utilizzato per l'autenticazione nelle moderne applicazioni Web.

Struttura JWT

Un JWT è composto da tre parti separate da punti:

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U

1. Intestazione

{"alg": "HS256", "typ": "JWT"}

Definisce l'algoritmo di firma e il tipo di token.

2. Carico utile

{"sub": "1234567890", "name": "John Doe", "iat": 1516239022, "exp": 1516242622}

Contiene attestazioni: dati utente e metadati del token.

3. Firma

Garantisce l'integrità del token. Per HS256:

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

Come funziona l'autenticazione JWT

1. L'utente invia login e password
2. Il server convalida i dati e crea un JWT
3. Il client memorizza il token (localStorage, cookie)
4. Ad ogni richiesta il client invia:Authorization: Bearer <token>
5. Il server verifica la firma ed estrae i dati dal payload

Debug JWT

UsaloDebugger JWT Xuveroper decodificare e analizzare i token.

Sicurezza JWT

• Archivia i token nel cookie httpOnly, non in localStorage
• Imposta una durata breve (15-30 minuti)
• Utilizza il token di aggiornamento per aggiornare
• Non archiviare mai dati sensibili nel payload
• Controllaalgsul server: protezione contro l'attacco "alg: none".