Sessões versus tokens sem estado

O HTTP se esquece de tudo entre as solicitações. Para manter alguém conectado, o senhor pode armazenar uma sessão no servidor ou entregar ao cliente um token assinado.

Com uma sessão, o servidor mantém seu estado de login e fornece ao navegador um pequeno cookie contendo apenas um identificador de sessão. A cada solicitação, o servidor consulta esse identificador. 🍪

Como o servidor armazena o estado, ele precisa se lembrar de cada usuário ativo. Esse estado no servidor fica pesado e difícil de compartilhar entre várias máquinas.

Um token transporta as próprias informações do usuário, assinadas pelo servidor. O servidor deixa de armazenar qualquer coisa e apenas verifica a assinatura em cada solicitação.

Sem estado significa que o servidor não mantém nenhuma memória do cliente. Tudo de que precisa para confiar no cliente viaja dentro do token em cada chamada.

Um JWT (JSON Web Token) é o token sem estado padrão. É uma cadeia compacta e assinada que qualquer servidor com a chave pode verificar instantaneamente.

Um JWT tem três partes separadas por pontos: um cabeçalho, uma carga útil e uma assinatura. O cabeçalho informa o algoritmo usado para assiná-lo.

A parte central contém declarações: pequenos dados, como o identificador do usuário ou um prazo de expiração. Ela é codificada, não criptografada; portanto, nunca coloque segredos ali.

A assinatura é criada a partir do cabeçalho, da carga útil e de um segredo que somente o servidor conhece. Altere um único byte e a verificação falhará.

Os tokens são excelentes para APIs e clientes móveis que escalam entre muitos servidores, pois não é necessário um armazenamento de sessões compartilhado para verificar quem faz a chamada.

Para um site tradicional renderizado pelo servidor, as sessões são mais simples e fáceis de revogar. A escolha certa depende do seu aplicativo, não da moda.

As sessões armazenam o estado no servidor; os JWTs enviam o estado assinado ao cliente. Os tokens permanecem sem estado, o que os torna ideais para APIs escaláveis. 🚀