Как генерируется JWT?

Question

[Eugenue Cesarevich]

У меня сервер на Java, я генерирую токен при помощи библиотеки io.jsonwebtoken. Токен генерируется на основании логина пользователя. Насколько я понимаю, алгоритм хэширования из раза в раз не меняется, то есть получается, что токен тоже никогда не меняется? Таким образом, ситуацию со скомпрометированным единожды токеном можно разрешить только изменением логина?

Answer 1

[Сергей Горностаев]

Токен включает в себя метку времени, до которой действителен.

Comments

[Eugenue Cesarevich]

То есть злоумышленник сможет пользоваться токеном до тех пор, пока не истечёт его срок действия?

[Vamp]

Eugenue Cesarevich, верно.

Answer 2

[Орхан Гасанлы]

Для наглядности гляньте на оф. сайт
https://jwt.io/
Увидите, что jwt состоит из 3-х частей.
Обратите внимание на эту часть
https://i.imgur.com/cZLrN7Y.png