Как определяется срок жизни JWT-токена?

Срок жизни JWT (JSON Web Token) определяется в его полезной нагрузке (payload) с помощью стандартных полей (claims). Основным полем для этого является exp (expiration time).

1. Поле exp (Expiration Time) Поле exp указывает время, после которого JWT считается недействительным. Это значение представляет собой числовое значение даты/времени в формате Unix-времени (количество секунд с 1 января 1970 года UTC). Время жизни токена устанавливается при его создании и может варьироваться от нескольких минут до нескольких лет, в зависимости от требований безопасности и функциональности приложения.

Пример создания JWT с exp в Python:

import jwt
from datetime import datetime, timedelta, timezone

# Секретный ключ для подписи токена
secret_key = "your-super-secret-key-that-should-be-long-and-random"

# Полезная нагрузка токена
payload = {
    "user_id": 123,
    "username": "john.doe",
    # 'exp': время истечения токена (Unix timestamp)
    # Здесь токен будет действителен 1 час с момента создания
    "exp": datetime.now(timezone.utc) + timedelta(hours=1),
    # 'iat': время выдачи токена (Issued At)
    "iat": datetime.now(timezone.utc),
    # 'nbf': токен недействителен до (Not Before)
    # Токен будет недействителен в течение первых 5 минут после выдачи
    "nbf": datetime.now(timezone.utc) + timedelta(minutes=5)
}

# Кодирование (создание) JWT
token = jwt.encode(payload, secret_key, algorithm="HS256")
print(f"Сгенерированный JWT: {token}")

# Декодирование (проверка) JWT
try:
    decoded_payload = jwt.decode(token, secret_key, algorithms=["HS256"])
    print(f"Декодированный payload: {decoded_payload}")
except jwt.ExpiredSignatureError:
    print("Ошибка: Срок действия токена истек.")
except jwt.InvalidTokenError as e:
    print(f"Ошибка: Недействительный токен - {e}")

Примечание: Для работы с датами в UTC рекомендуется использовать datetime.now(timezone.utc) вместо datetime.utcnow() для явного указания часового пояса.

2. Ключевые аспекты управления сроком жизни JWT:

• Невозможность отзыва (без дополнительных механизмов): JWT по своей природе являются "безгосударственными" (stateless). После выдачи токен не может быть отозван до истечения его срока действия, если не использовать дополнительные механизмы, такие как "черные списки" (blacklists) или "белые списки" (whitelists) на стороне сервера. Это важное соображение безопасности.
• Рекомендации по длительности:
  • Access Token (токен доступа): Рекомендуется устанавливать короткий срок жизни (например, 15-30 минут). Это минимизирует окно атаки в случае компрометации токена, так как злоумышленник сможет использовать его лишь ограниченное время.
  • Refresh Token (токен обновления): Имеет значительно больший срок жизни (например, 7-30 дней или дольше). Он используется для получения нового Access Token без повторной аутентификации пользователя. Refresh Token обычно хранится более безопасно (например, в HTTP-only куках) и может быть отозван на сервере.
• Другие связанные поля:
  • iat (Issued At): Время, когда токен был выдан. Полезно для определения возраста токена.
  • nbf (Not Before): Время, до которого токен не должен быть принят. Позволяет выдать токен заранее, но сделать его активным только с определенного момента.

Правильное управление сроком жизни JWT и использование пары Access/Refresh токенов является ключевым для обеспечения безопасности и удобства использования в современных веб-приложениях.