Менторы по JWT

JWT: проверяйте доверие к токену, а не только его декодирование

JWT содержит набор утверждений и может быть подписан или зашифрован в зависимости от формата. Обычное чтение payload не подтверждает подлинность и не означает секретность. На занятии можно проверить полный путь от выдачи до принятия токена сервером.

Определите доверенную сторону и назначение

Уточните issuer, audience и способ выбора ключа. Сервер должен применять ожидаемую политику проверки, а не доверять произвольному алгоритму из входного токена. Разные типы токенов требуют подходящих правил применения.

Проверьте сроки и авторизацию

Успешная криптографическая проверка не разрешает любую операцию. Нужно учитывать срок, назначение и действующие права. Отдельно обсудите обновление, отзыв и последствия утечки; длительность жизни выбирают в контексте системы.

Не помещайте секреты в читаемый payload

Подпись защищает целостность при корректной проверке, но сама по себе не скрывает содержимое. Для консультации используйте искусственный тестовый токен и схему взаимодействия. Рабочий access token или refresh token нельзя передавать как пример для публичного разбора.