49. Autenticación y autorización con JWT

La autenticación y la autorización son componentes críticos de cualquier aplicación web. Cuando hablamos de autenticación, nos referimos al proceso de verificar la identidad de un usuario, mientras que la autorización es el proceso de verificar lo que un usuario autenticado puede hacer. En la era moderna del desarrollo web, uno de los métodos más populares para manejar la autenticación y la autorización es JWT o JSON Web Token.

JWT es un estándar abierto (RFC 7519) que define una forma compacta y segura de transmitir información entre partes como un objeto JSON. Esta información se puede verificar y confiar porque está firmada digitalmente. Los JWT se pueden firmar usando un secreto (con el algoritmo HMAC) o un par de claves pública/privada usando RSA o ECDSA.

¿Cómo funciona JWT?

Un JWT se divide en tres partes: encabezado, carga útil y firma. El encabezado normalmente consta de dos elementos: el tipo de token, que es JWT, y el algoritmo de firma, como HMAC SHA256 o RSA. La carga útil contiene las afirmaciones o declaraciones sobre el usuario y cualquier información adicional que desee transmitir. La firma es lo que valida el token y se crea utilizando el encabezado, la carga útil, un secreto y el algoritmo especificado en el encabezado.

Cuando un usuario inicia sesión en su aplicación, crea un JWT en el servidor y lo devuelve al cliente. Luego, el cliente almacena este token de alguna manera, generalmente en una cookie o localStorage. Luego, en cada solicitud posterior que el cliente realiza al servidor, incluye este token. Luego, el servidor puede verificar la validez del token, considerar que el usuario está autenticado y procesar la solicitud.

¿Por qué utilizar JWT?

Existen varias ventajas al utilizar JWT para autenticación y autorización. En primer lugar, no tienen estado, lo que significa que no es necesario almacenarlos en el servidor. Esto es excelente para la escalabilidad porque no importa qué servidor atienda la solicitud, siempre que tenga la clave secreta puede verificar el JWT. En segundo lugar, son compactos, lo que hace que su transmisión sea rápida. En tercer lugar, son seguros ya que están firmados y pueden cifrarse.

Implementación de JWT en HTML, CSS y Javascript

Para implementar JWT en una aplicación HTML, CSS y Javascript, necesitará una biblioteca JWT para el backend, como jsonwebtoken para Node.js, y una forma de almacenar y transmitir el JWT en el frontend.

En el backend, cuando un usuario inicia sesión, creará un JWT como este:

var jwt = require('jsonwebtoken');
var token = jwt.sign({ ID de usuario: user.id }, 'tu-clave-secreta');

Donde 'user.id' es la información que desea codificar en el token y 'your-secret-key' es la clave que utilizará para firmar el token.

En la interfaz, almacenará el JWT en una cookie o localStorage y lo incluirá en todas las solicitudes al servidor:

localStorage.setItem('token', token);
axios.defaults.headers.common['Autorización'] = 'Portador' + token;

Luego, en el backend comprobarás el JWT en cada solicitud:

var jwt = require('jsonwebtoken');
jwt.verify(token, 'tu-clave-secreta', función(err, decodificado) {
  si (errar) {
    // el token no es válido
  } demás {
    // el token es válido, continúa con la solicitud
  }
});

Para que pueda implementar fácilmente la autenticación y autorización en su aplicación HTML, CSS y Javascript utilizando JWT. Este es un método potente y flexible que se ha convertido en un estándar en la industria del desarrollo web.

Conclusión

JWT es una poderosa herramienta para autenticación y autorización en aplicaciones web. No tiene estado, es compacto y seguro, lo que lo hace ideal para aplicaciones modernas. Con un conocimiento sólido de cómo funcionan los JWT y cómo implementarlos en HTML, CSS y Javascript, estará bien equipado para crear aplicaciones web seguras y escalables.

Siguiente página del libro electrónico gratuito:

100Seguridad web: CORS, CSRF, XSS

3 minutos