Oturumlar ve Durumsuz Belirteçler

HTTP, istekler arasında sizi hatırlamaz. Birinin oturumunu açık tutmak için ya sunucuda bir oturum saklarsınız ya da istemciye imzalı bir belirteç verirsiniz.

Bir oturum kullanıldığında sunucu oturum açma durumunuzu saklar ve tarayıcıya yalnızca oturum kimliğini taşıyan küçük bir çerez verir. Sunucu her istekte bu kimliği arar. 🍪

Durum sunucuda saklandığından sunucunun etkin her kullanıcıyı hatırlaması gerekir. Bu sunucu tarafındaki durum ağırlaşır ve birçok makine arasında paylaşılması zorlaşır.

Bir belirteç kullanıcı bilgilerini sunucu tarafından imzalanmış şekilde kendi içinde taşır. Sunucu artık hiçbir şey saklamaz; yalnızca her istekte imzayı doğrular.

Durumsuz, sunucunun istemciyle ilgili hiçbir bilgiyi belleğinde tutmaması demektir. Sunucunun size güvenmesi için gereken her şey her çağrıda belirtecin içinde taşınır.

JWT (JSON Web Token), standart durumsuz belirteçtir. Anahtara sahip her sunucunun anında doğrulayabileceği, kısa ve imzalı bir dizedir.

Bir JWT, noktalarla ayrılmış üç bölümden oluşur: üst bilgi, yük ve imza. Üst bilgi, imzalamada kullanılan algoritmayı belirtir.

Ortadaki bölüm, kullanıcı kimliği veya son kullanma zamanı gibi küçük bilgiler olan iddiaları içerir. Bunlar şifrelenmez, kodlanır; bu nedenle buraya hiçbir gizli bilgi koymayın.

İmza, üst bilgi, yük ve yalnızca sunucunun bildiği bir gizli anahtardan oluşturulur. Tek bir baytı değiştirirseniz doğrulama başarısız olur.

Belirteçler, birçok sunucuya yayılan API'ler ve mobil istemciler için idealdir; çünkü bir çağrıyı doğrulamak için paylaşılan bir oturum deposu gerekmez.

Klasik, sunucu tarafından oluşturulan bir web sitesi için oturumlar daha basit ve iptal edilmesi daha kolaydır. Doğru seçim, söylentilere değil uygulamanıza bağlıdır.

Bir belirteç yaklaşımını durumsuz yapan şeyin ne olduğunu düşünün.

Oturumlar durumu sunucuda saklar; JWT'ler ise imzalı durumu istemciye taşır. Belirteçler durumsuz kaldığından ölçeklenebilir API'ler için çok uygundur. 🚀