Sesi vs Token Tanpa Status

HTTP melupakan Anda di antara berbagai permintaan. Agar seseorang tetap masuk, Anda dapat menyimpan sesi di server atau memberikan token bertanda tangan kepada klien.

Dengan sesi, server menyimpan status masuk Anda dan memberikan kuki kecil kepada peramban yang hanya berisi id sesi. Pada setiap permintaan, server mencari id tersebut. 🍪

Karena server menyimpan status, server harus mengingat setiap pengguna aktif. Status sisi server ini menjadi berat dan sulit dibagikan ke banyak mesin.

Token membawa informasi pengguna itu sendiri dan ditandatangani oleh server. Server tidak lagi menyimpan apa pun; server hanya memverifikasi tanda tangan pada setiap permintaan.

Tanpa status berarti server tidak menyimpan ingatan tentang klien. Semua hal yang dibutuhkan untuk memercayai Anda dikirim di dalam token pada setiap panggilan.

JWT (JSON Web Token) adalah token tanpa status yang menjadi standar. Token ini berupa string ringkas bertanda tangan yang dapat langsung diverifikasi oleh server mana pun yang memiliki kuncinya.

JWT memiliki tiga bagian yang dipisahkan oleh titik: header, payload, dan tanda tangan. Header menyebutkan algoritme yang digunakan untuk menandatanganinya.

Bagian tengah berisi klaim: fakta-fakta kecil seperti id pengguna atau waktu kedaluwarsa. Bagian ini dikodekan, bukan dienkripsi, jadi jangan pernah menaruh rahasia di dalamnya.

Tanda tangan dibuat dari header, payload, dan rahasia yang hanya diketahui server. Ubah satu byte saja, maka verifikasi akan gagal.

Token sangat cocok untuk API dan klien seluler yang skalanya mencakup banyak server, karena tidak diperlukan penyimpanan sesi bersama untuk memverifikasi pemanggil.

Untuk situs web klasik yang dirender server, sesi lebih sederhana dan mudah dicabut. Pilihan yang tepat bergantung pada aplikasi Anda, bukan pada tren.

Sesi menyimpan status di server; JWT mendorong status bertanda tangan ke klien. Token tetap tanpa status sehingga sangat cocok untuk API yang dapat diskalakan. 🚀