Что хотят услышать интервьюеры:

Помимо JWT, аутентификацию часто реализуют через сессии, cookie-based auth, OAuth2/OpenID Connect и API keys. Выбор зависит от типа приложения: web, mobile, server-to-server, микросервисы. Важно понимать, где хранится состояние, как передаётся идентификатор пользователя и как обеспечивается безопасность.

Определение:

JWT — не единственный способ аутентификации. Альтернативы делятся на несколько групп: серверные сессии, когда состояние хранится на backend; cookie-авторизация, где браузер автоматически отправляет куки; токены доступа в рамках OAuth2/OIDC; API keys для простых интеграций; mutual TLS для доверенного обмена между сервисами. На практике выбор зависит от требований к масштабированию, безопасности и удобству клиента.

Пример использования:

Для классического web-приложения часто используют сессию: пользователь логинится, сервер создаёт session_id, сохраняет данные сессии в Redis или БД, а браузер дальше шлёт этот идентификатор в cookie.

from flask import Flask, session, request, redirect

app = Flask(__name__)
app.secret_key = "super-secret-key"

@app.post("/login")
def login():
    username = request.form.get("username")
    password = request.form.get("password")

    if username == "admin" and password == "1234":
        session["user"] = username
        return "logged in"
    return "unauthorized", 401

@app.get("/profile")
def profile():
    user = session.get("user")
    if not user:
        return redirect("/login")
    return f"Hello, {user}"

Пояснение кода:

В этом примере код использует серверную сессию вместо JWT.
Сначала при успешном логине в session["user"] записывается признак авторизации.
Затем при запросе к /profile сервер проверяет наличие пользователя в сессии и либо отдаёт данные, либо перенаправляет на логин.
Сами данные сессии не передаются в JWT, а связка между клиентом и сервером держится через cookie с идентификатором сессии.

Ключевые моменты:

Сессионная аутентификация удобна для браузерных приложений, потому что cookie отправляются автоматически.
JWT удобен для stateless-архитектуры, но не обязателен; серверные сессии проще отзывать и контролировать.
OAuth2/OIDC подходят, когда нужна авторизация через внешний провайдер или SSO.
API keys хороши для простых сервисных интеграций, но обычно слабее по уровню контроля и часто требуют дополнительной защиты.
Для межсервисного взаимодействия часто используют mTLS или отдельные service tokens.
На собеседовании важно показать понимание trade-off: stateful vs stateless, безопасность, масштабирование и отзыв токенов.

Какие существуют другие способы реализации передачи и проверки аутентификации помимо JWT?