Autentifică-te pentru a citi acest subiect
Fără cont vezi doar prima etapă a roadmap-ului. Cu un cont gratuit primești restul conținutului gratuit, progresul salvat și AI Tutor.
Alte subiecte din „Token-uri JWT”
- Verifică întotdeauna semnătura și respinge token-urile cu alg=none
- Fixează pe server algoritmul acceptat; nu te baza pe header-ul alg
- Validează claim-urile exp, nbf, iss și aud
- Rotește refresh token-urile și detectează reutilizarea lor
- Nu pune date sensibile în payload-ul JWT, care este doar codificat
- Preferă chei asimetrice (ES256, EdDSA) publicate prin JWKS, cu rotație
- Nu păstra token-urile în localStorage; preferă cookie-uri sau un BFF
- Planifică revocarea: deny list, versiune de token sau sesiuni pe server