Разкажи за JWT токена: какво може да се направи с прихванат токен — да се прочете, да се промени, да се използва повторно?

JWT (JSON Web Token) се състои от три части: заглавие, полезен товар (payload) и подпис.

• Прочитане: Перехванатият JWT може лесно да бъде прочетен, тъй като частите му са кодирани в Base64URL и не са криптирани. Всеки може да декодира payload и да види данните, като userId, роли и др.

• Промяна: Не е възможно да се промени съдържанието на токена без да се знае секретният ключ за подпис, тъй като подписът няма да съвпадне и сървърът ще отхвърли такъв токен. Ако обаче ключът е компрометиран, тогава може да се фалшифицират токени.

• Повторна употреба: Перехванатият валиден токен може да се използва повторно до изтичането му (exp). Това се нарича атака за повторно възпроизвеждане (replay attack). За минимизиране на риска се използват кратки срокове на валидност и механизми за обновяване (refresh tokens).

Така, с перехванат JWT може да се прочетат данните и да се използва повторно токена, но без ключа не може да се промени.