В современном мире веб-разработки, где безопасность и удобство играют ключевые роли, токены стали неотъемлемой частью работы серверных приложений. Если вы когда-либо заходили на сайт и вас не просили заново логиниться при каждом клике, то поздравляю – токены работают на вас. Но что же это такое и почему они так важны?

Что такое токен

Простыми словами: токен – это как ключ

Представьте, что вы пришли в отель. На ресепшене вам выдали ключ-карту от вашего номера. Пока вы её не потеряете или срок её действия не истечёт, вы можете заходить в свой номер без необходимости объяснять администратору, кто вы, и почему вам можно туда войти. Токен работает по тому же принципу, только в цифровом мире. Это небольшой «ключ», который подтверждает вашу личность при взаимодействии с сервером.

Почему не просто пароли?

Допустим, вы ввели логин и пароль, чтобы зайти на сайт. Если бы сервер каждый раз проверял ваши данные, он бы отправлял их по сети туда-сюда. Это плохо сразу по двум причинам:

• Небезопасно. Чем чаще пароль передаётся, тем выше шанс, что кто-то его перехватит.
• Неудобно. Вы не хотите каждый раз вводить пароль, кликая по ссылке или обновляя страницу.

Токены решают эту проблему. Сервер проверяет ваши данные только один раз – при входе. После этого он выдаёт вам токен, который вы используете вместо логина и пароля.

Какие бывают токены?

В зависимости от того, как токены работают и для чего применяются, их можно разделить на несколько типов:

1. JWT (JSON Web Token)

Это самый популярный формат токенов. JWT – это компактная строка, которая состоит из трёх частей: заголовка, полезной нагрузки и подписи. Вот как он может выглядить:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Каждая часть зашифрована и выполняет свою роль:

• Заголовок (Header) – информация о токене (например, какой алгоритм шифрования используется).
• Полезная нагрузка (Payload) – данные о пользователе (например, ID, роль, имя).
• Подпись (Signature) – защищает токен от подделки.

JWT хорош тем, что его легко проверять и передавать между клиентом и сервером. Однако его недостаток в том, что данные внутри не зашифрованы – только подписаны. То есть любой может посмотреть, что внутри токена (но не может изменить).

2. OAuth-токены

OAuth используется для авторизации через сторонние сервисы. Например, если вы входите на сайт через Google или Facebook, то там используется OAuth. Такой токен обычно даёт доступ к определённой информации – скажем, вашей электронной почте или имени, но не всему вашему аккаунту.

3. Refresh-токены

Они нужны для продления жизни основного токена. Например, если ваш токен действует 1 час, то через час вам нужно будет получить новый. Но вместо того, чтобы заново логиниться, вы отправляете refresh-токен и получаете свежий access-токен.

Как это работает на практике?

1. Вы заходите на сайт и вводите логин с паролем.
2. Сервер проверяет их и возвращает вам токен.
3. Браузер или приложение сохраняет токен. Это может быть localStorage, sessionStorage или даже cookie.
4. При каждом запросе токен отправляется серверу. Обычно он добавляется в заголовок запроса, например: Authorization: Bearer ваш_токен
5. Сервер проверяет токен. Если он действителен, запрос выполняется. Если истёк – вас просят перезайти.

Зачем это нужно?

Использование токенов даёт множество преимуществ:

• Безопасность. Ваши пароли не передаются туда-сюда по сети.
• Скорость. Серверу не нужно заново проверять вас при каждом запросе.
• Гибкость. Токены позволяют легко работать с разными устройствами, сервисами и API.
• Масштабируемость. С помощью токенов можно разделить авторизацию между множеством серверов.

Какие проблемы могут быть?

• Истечение срока действия. Если токен устарел, пользователь может потерять доступ и будет вынужден перезайти.
• Похищение токена. Если токен украдут (например, через XSS-атаку), злоумышленник сможет им воспользоваться. Поэтому важно хранить токены в безопасных местах.
• Перегруженные токены. Если вы записываете слишком много информации в токен, он может стать слишком «тяжёлым» для передачи.

Общая логика аутентификации на бэкенде

Типичная схема аутентификации включает несколько ключевых шагов: пользователь отправляет свои данные на сервер (например, логин и пароль), сервер проверяет их корректность, а затем выдает токен или создаёт сессию, чтобы пользователю не приходилось заново проходить проверку при каждом запросе.

Современные подходы, такие как аутентификация с использованием токенов, позволяют сделать этот процесс более гибким и безопасным. Сервер возвращает клиенту токен, который используется для подтверждения личности в последующих запросах. Это особенно удобно при работе с распределенными системами, API или мобильными приложениями.

В таблице ниже приведены основные этапы и подходы к аутентификации.

Работа с токенами в FastAPI

FastAPI – это настоящий подарок для разработчиков, которые хотят быстро и удобно создавать API. Одной из ключевых задач при создании приложений является реализация авторизации, и токены тут играют главную роль. Давайте разберём, как работать с токенами в FastAPI, чтобы сделать ваше приложение безопасным и удобным.

Почему FastAPI так хорош для работы с токенами?

FastAPI из коробки предлагает инструменты для работы с токенами: поддержку OAuth2, возможности для работы с JWT, встроенные декораторы для маршрутов и многое другое.
Всё это упрощает процесс интеграции авторизации на основе токенов и делает ваш код понятным и лаконичным.

Шаг 1. Подготовка проекта

Перед тем как начать, убедитесь, что у вас установлен FastAPI и Uvicorn:

pip install fastapi uvicorn python-jose

python-jose понадобится для работы с JWT-токенами – это библиотека для подписания, шифрования и проверки токенов.

Шаг 2. Основы работы с токенами

Для начала создадим базовый сервер FastAPI с авторизацией через токены. Вот пример структуры проекта:

my_project/
│
├── main.py          # Основной файл приложения
├── auth.py          # Работа с токенами
└── requirements.txt # Зависимости

Файл auth.py

Этот файл будет отвечать за создание и проверку токенов. Вот пример реализации:

from datetime import datetime, timedelta
from jose import JWTError, jwt

# Секретный ключ для подписания токенов
SECRET_KEY = "your_secret_key"
ALGORITHM = "HS256"
ACCESS_TOKEN_EXPIRE_MINUTES = 30

# Функция для создания токена
def create_access_token(data: dict):
    to_encode = data.copy()
    expire = datetime.utcnow() + timedelta(minutes=ACCESS_TOKEN_EXPIRE_MINUTES)
    to_encode.update({"exp": expire})
    encoded_jwt = jwt.encode(to_encode, SECRET_KEY, algorithm=ALGORITHM)
    return encoded_jwt

# Функция для проверки токена
def verify_token(token: str):
    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
        return payload
    except JWTError:
        return None

SECRET_KEY: Храните это значение в безопасном месте, например, в .env-файле.
ALGORITHM: Определяет метод шифрования. Самый популярный – HS256.
ACCESS_TOKEN_EXPIRE_MINUTES: Время жизни токена.

Файл main.py

Теперь настроим приложение и добавим эндпоинты для генерации и проверки токенов:

from fastapi import FastAPI, Depends, HTTPException
from fastapi.security import OAuth2PasswordBearer
from auth import create_access_token, verify_token

app = FastAPI()

# Указываем путь для получения токена
oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")

# Эндпоинт для генерации токена
@app.post("/token")
def login(username: str, password: str):
    # Проверка пользователя (упрощённый вариант)
    if username == "admin" and password == "password":
        access_token = create_access_token(data={"sub": username})
        return {"access_token": access_token, "token_type": "bearer"}
    raise HTTPException(status_code=400, detail="Invalid credentials")

# Эндпоинт для проверки доступа
@app.get("/secure-data")
def read_secure_data(token: str = Depends(oauth2_scheme)):
    payload = verify_token(token)
    if payload is None:
        raise HTTPException(status_code=401, detail="Invalid token")
    return {"message": "This is secure data", "user": payload.get("sub")}

Шаг 3. Как это работает?

1. Запрос токена. Пользователь отправляет логин и пароль на /token. Если данные верны, сервер возвращает токен.
2. Использование токена. Клиент (например, фронтенд-приложение) включает токен в заголовок Authorization: Authorization: Bearer <ваш_токен>.
3. Проверка токена. При каждом запросе к защищённым маршрутам FastAPI автоматически извлекает токен и передаёт его в функцию verify_token.

Шаг 4. Улучшения и безопасность

• Хранение ключей. Никогда не храните секретные ключи прямо в коде. Используйте .env и библиотеку python-decouple.
• Refresh-токены. Чтобы не заставлять пользователя каждый раз логиниться, можно добавить refresh-токены. Их логика похожа на access-токены, но с более длительным сроком действия.
• Роли и права. В Payload можно добавить роли пользователя (например, admin, user) и проверять их перед выполнением операций.
• Защита от XSS и CSRF. Храните токены в http-only cookies, чтобы злоумышленники не могли их украсть через JavaScript.