JWT(JSON Web Token) | Bearer token - что это и как это работает

Привет всем! В этом видео я расскажу вам о JSON Web Token (JWT) и о том, что должен знать тестировщик о нем. Мы обсудим различные типы токенов, такие как access token, refresh token и bearer token, и узнаем, для чего они используются.

Access token - это токен, который выдается пользователю после успешной аутентификации. Он содержит информацию о правах доступа пользователя к определенным ресурсам или функциональности. Access token обычно имеет ограниченное время жизни и должен быть передан с каждым запросом к защищенным ресурсам.

Refresh token - это токен, который используется для обновления access token. Когда access token истекает, refresh token может быть использован для получения нового access token без необходимости повторной аутентификации. Refresh token обычно имеет более длительное время жизни, чем access token, и должен быть хранен в безопасном месте.

Bearer token - это тип авторизации, при котором access token передается в заголовке запроса или в параметре URL. Bearer token предоставляет доступ к защищенным ресурсам и должен быть передан с каждым запросом. Он обычно начинается со слова "Bearer", за которым следует сам токен.

В этом видео мы рассмотрим примеры использования каждого типа токена и обсудим основные проблемы, с которыми тестировщик может столкнуться при работе с JWT. Будет полезно узнать, как проверять правильность генерации и обработки токенов, а также как обрабатывать ошибки и исключения, связанные с JWT.

Не пропустите это видео, если вы интересуетесь тестированием и хотите узнать больше о JSON Web Token и его роли в безопасности приложений.
Ссылки:

Donate на поддержку канала:
карта сбер - 2202 2068 4325 7309

0:00 Начало
0:30 из чего состоит JWT
01:00 немного про авторизацию с помощью Session
01:43 авторизация с помощью JWT
02:57 access token & refresh token
03:33 для чего нужен refresh token
04:09 создание тестового JWT
05:04 для чего нужно обновлять токен
06:34 получение токена в Postman(не JWT, но суть такая же)

#тестировщик #qa #https #jwt #bearer #qa_tech

[Vitalik]

По теме JWT было бы интересно узнать варианты тестирования токенов, какие-то важные моменты - особенности.

[egoregor]

Формат материала и его подача, равно топ )

[egoregor]

Освети пожалуйста тему аутентификации и авторизации поподробнее, а то есть затыки, реализации stateless и statefull, протоколы oauth, openid и тд) думаю тема очень полезна будет) благодарствую за твои труды)

[Vitalik]

Буквально на днях меня на собеседовании в Банк просили разъяснить как работает JWT, жаль что раньше не посмотрел это видео, всё прям понятно)) спасибо большое! Полезно!

[minicopim]

пушка, сейчас досмотрю видео и считай устроился на работу QA

[Yseevlad]

Лайк, подписка и свои 5 копеек: токен внутри payload может содержать в json список ролей и прав владельца токена. Т.е. с этим токеном можно обратиться к сервису и получить 403 из-за отсутствия в токене нужных ролей/ прав

[romandiakun]

полезная инфа, готов даже платить за подписку

[Souldncer]

не совсем понятно про момент, когда злоумышленник получил 2 токена. Почему в какой-то момент он перестает получать новый refresh токен?

[PrinceNoru]

Раскрой, пожалуйста, тему подробнее. Это отличное видео

[NoName-zydo]

1:36 кажется оговорка или я что то не понимаю, когда пользователь разлогинивается, может удаляется не userId с сервара а sessuonId?

[ebaklak]

о, картинка уже более качественная, надеюсь в следующих видео будет не хуже, а может даже и лучше ;)

[egoregor]

Привет. Подскажи стоит ли проходить какие-то курсы по тестированию или же все таки информации в интернете предостаточно чтобы все освоить самому?
Было бы интересно узнать твое мнение по этому вопросу и мог бы рассказать какой-то актуальный roadmap в 2023 по изучению?!) Заранее благодарю )

[zoomixxx]

Скажите, а какой смысл бэку отправлять с новым Access токеном и новый Refresh токен, в таком случае получается, что Refresh токен тоже живет 10-15 мин. Я думал, что бэк присылает только новый Access токен, а Refresh используется тот же, пока не протухнет. Можете объяснить, зачем используют такую реализацию.

[egoregor]

Скажи а где токены передаются в запросах api? Куки, хэдеры, заголовок??