Seguridad basada en JWT
Implemente autenticación basada en tokens mediante JSON Web Tokens (JWT) para API sin estado.
Seguridad basada en JWT es una lección gratuita de Spring Boot 4 Complete Guide en CoddyKit. Esta es la lección 3 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de Spring Boot 4 Complete Guide, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de Spring Boot 4 Complete Guide incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Intro to JWT-Based Security
Welcome to the final lesson on Spring Security! Today, we'll explore JSON Web Tokens (JWTs), a popular method for securing stateless APIs.
Unlike traditional session-based authentication, JWTs allow the server to remain stateless, making them ideal for microservices and mobile applications.
What is a JWT?
A JWT is a compact, URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object.
- Compact: Small size, can be sent through URL, POST parameter, or inside an HTTP header.
- Self-contained: Contains all necessary information about the user, avoiding database lookups for every request.
Anatomy of a JWT
A JWT consists of three parts, separated by dots (.):
- Header
- Payload
- Signature
It typically looks like: xxxxx.yyyyy.zzzzz
The Header: Algorithm & Type
The Header usually consists of two parts: the type of the token (which is JWT) and the signing algorithm being used (e.g., HS256 or RS256).
This JSON is then Base64Url-encoded to form the first part of the JWT.
{"alg":"HS256","typ":"JWT"}The Payload: Claims
The Payload contains the 'claims' – statements about an entity (typically, the user) and additional data. There are three types of claims:
- Registered claims: Standard, non-mandatory claims (e.g.,
issfor issuer,expfor expiration,subfor subject). - Public claims: Defined by users, require collision-resistant names.
- Private claims: Custom claims agreed upon by sender and receiver.
The Signature: Trust & Integrity
The Signature is created by taking the encoded header, the encoded payload, a secret key, and the algorithm specified in the header. It ensures the token hasn't been tampered with.
If someone changes the header or payload, the signature verification will fail, making the token invalid. The secret key must be kept confidential!
Generating JWT Parts (Code)
Let's see how the header and payload are Base64Url-encoded. The signature would then be computed using these encoded parts and a secret.
import java.util.Base64;
public class JwtPartsDemo {
public static void main(String[] args) {
String headerJson = "{\"alg\":\"HS256\",\"typ\":\"JWT\"}";
String payloadJson = "{\"sub\":\"coddyUser\",\"iat\":1678886400,\"exp\":1678890000}";
String encodedHeader = Base64.getUrlEncoder().withoutPadding().encodeToString(headerJson.getBytes());
String encodedPayload = Base64.getUrlEncoder().withoutPadding().encodeToString(payloadJson.getBytes());
System.out.println("Encoded Header: " + encodedHeader);
System.out.println("Encoded Payload: " + encodedPayload);
System.out.println("\nJWT format: EncodedHeader.EncodedPayload.Signature");
}
}JWT Flow in Spring Security
When a user successfully authenticates (e.g., logs in with username/password), the server:
- Generates a JWT.
- Sends the JWT back to the client.
For subsequent requests, the client:
- Stores the JWT (e.g., in local storage).
- Attaches the JWT in the
Authorizationheader (e.g.,Bearer YOUR_TOKEN).
The server then intercepts and validates this token for each protected request.
Validating JWTs (Code Concept)
A custom filter in Spring Security would extract the token, decode its parts, and then critically, verify the signature and validate claims like expiration.
import java.util.Base64;
public class JwtValidationDemo {
public static void main(String[] args) {
// A simplified example token (signature part is placeholder)
String jwtToken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJjb2RkeVVzZXIiLCJpYXQiOjE2Nzg4ODY0MDAsImV4cCI6MTY3ODg5MDAwMH0.SIGNATURE_PLACEHOLDER";
String[] parts = jwtToken.split("\\.");
if (parts.length == 3) {
String decodedHeader = new String(Base64.getUrlDecoder().decode(parts[0]));
String decodedPayload = new String(Base64.getUrlDecoder().decode(parts[1]));
System.out.println("Decoded Header: " + decodedHeader);
System.out.println("Decoded Payload: " + decodedPayload);
// In a real application, you would:
// 1. Verify the 'SIGNATURE_PLACEHOLDER' using the secret key.
// 2. Parse 'decodedPayload' JSON to check claims like 'exp' (expiration).
if (decodedPayload.contains("\"sub\":\"coddyUser\"")) {
System.out.println("Payload contains expected subject 'coddyUser'.");
}
} else {
System.out.println("Invalid JWT format.");
}
}
}Quick Check: JWT Parts
Based on what we've learned, which of the following are standard parts of a JSON Web Token (JWT) that are transmitted?
Recap: JWT-Based Security
In this lesson, we explored JWT-based security, understanding its three key parts: Header, Payload, and Signature.
We learned how JWTs enable stateless authentication, making them highly scalable and suitable for modern APIs and mobile applications. You also saw conceptual code examples for generating and validating JWTs.
This concludes our Spring Security course! You've learned to secure applications from basic authentication to advanced token-based systems.
Preguntas frecuentes
¿La lección «Seguridad basada en JWT» es gratis?
Sí — el texto completo de «Seguridad basada en JWT» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de Spring Boot 4 Complete Guide, actualiza a CoddyKit PRO. El curso de Spring Boot 4 Complete Guide incluye 4 lecciones en total.
¿Qué aprenderé en «Seguridad basada en JWT»?
Implemente autenticación basada en tokens mediante JSON Web Tokens (JWT) para API sin estado. Practicas Spring Boot 4 Complete Guide con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar Spring Boot 4 Complete Guide?
No se requiere experiencia previa. Spring Boot 4 Complete Guide en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 3 de 4.
¿Cuánto tiempo toma la lección «Seguridad basada en JWT»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de Spring Boot 4 Complete Guide?
Sí. Cada lección de Spring Boot 4 Complete Guide incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Fundamentos de Spring Security
- Autenticación y autorización
- Seguridad basada en JWT
- Integración de OAuth2 e inicio de sesión social