JWT Oturum Belirteci Uygulaması: Durumlu (Stateful) ve Durumsuz (Stateless) Yaklaşımlar

JSON Web Token’ları (JWT), taraflar arasında bilgileri JSON nesnesi olarak güvenli bir şekilde iletmek için endüstri standardı haline gelmiştir. Oturum yönetimi söz konusu olduğunda, geliştiriciler genellikle kritik bir mimari kararla karşı karşıya kalırlar: Uygulama Durumsuz (Stateless) mu yoksa Durumlu (Stateful) mu olmalı?

Her iki yaklaşımın da kendine göre avantajları vardır ve doğru seçimi yapmak tamamen uygulamanızın ölçeğine, güvenlik gereksinimlerine ve altyapınıza bağlıdır.

1. Durumsuz (Stateless) JWT Uygulaması

Tamamen durumsuz bir uygulamada, tüm oturum verileri (kullanıcı kimliği, roller, sona erme süresi) doğrudan JWT’nin içinde saklanır. Sunucunun bir veritabanında veya önbellekte herhangi bir oturum bilgisi saklamasına gerek yoktur.

Nasıl Çalışır:

1. Kullanıcı giriş yapar.
2. Sunucu, kullanıcı ayrıntılarını içeren bir JWT oluşturur ve bunu gizli bir anahtarla imzalar.
3. Sunucu, JWT’yi istemciye gönderir.
4. Sonraki her istek için istemci JWT’yi gönderir.
5. Sunucu imzayı doğrular ve bir veritabanını kontrol etmeden içindeki verilere güvenir.

Artıları:

• Ölçeklenebilirlik: Sunucunun oturum verilerini aramasına gerek kalmadığından, birden fazla sunucu arasında yatay olarak ölçeklendirme yapmak daha kolaydır.
• Performans: Her istekte veritabanı/önbellek gecikmesini azaltır.
• Merkezi Olmayan Yapı: Farklı hizmetlerin belirteci bağımsız olarak doğrulayabildiği mikro hizmet mimarileri için idealdir.

Eksileri:

• İptal Sorunları: Bir belirteç bir kez verildiğinde, süresi dolana kadar geçerlidir. Belirli bir belirteci süresi dolmadan önce iptal etmek (örneğin, bir kullanıcı oturumu kapattığında veya yasaklandığında), bir tür ‘durum’ eklemeden zordur.
• Belirteç Boyutu: JWT’de çok fazla veri saklamak, büyük başlıklara yol açarak her HTTP isteğinin ek yükünü artırabilir.

2. Durumlu (Stateful) JWT Uygulaması

Durumlu bir uygulama, JWT’lerin taşınabilirliğini geleneksel oturumların kontrolüyle birleştirir. Bu modelde, JWT genellikle benzersiz bir oturum kimliği içerir ve sunucu, bir veri deposunda (Redis veya SQL veritabanı gibi) aktif oturumların kaydını tutar.

Nasıl Çalışır:

1. Kullanıcı giriş yapar.
2. Sunucu veritabanında bir oturum kaydı oluşturur ve oturum kimliğini içeren bir JWT oluşturur.
3. Sunucu, JWT’yi istemciye gönderir.
4. Her istek için istemci JWT’yi gönderir.
5. Sunucu imzayı doğrular VE oturumun hala geçerli/etkin olduğundan emin olmak için veritabanını/önbelleği kontrol eder.

Artıları:

• Anında İptal: Bir oturumu veritabanından silerek anında geçersiz kılabilirsiniz.
• Daha İyi Kontrol: “Tüm cihazlardan çıkış yap” veya aktif kullanıcı sayılarını izleme gibi özellikleri uygulamak kolaydır.
• Güvenlik: Bir belirteç çalınırsa, anında kara listeye alınabilir.

Eksileri:

• Azalan Ölçeklenebilirlik: Her istek, bir darboğaz haline gelebilecek bir veritabanı veya önbellek araması gerektirir.
• Altyapı Yükü: Yüksek kullanılabilirliğe sahip bir oturum deposunun bakımını gerektirir.

3. Hangisini Seçmelisiniz?

Şu durumlarda Durumsuz JWT kullanın: Yatay ölçeklendirmenin en önemli öncelik olduğu ve kısa belirteç ömürlerinin (yenileme belirteçleriyle birlikte) kabul edilebilir olduğu yüksek trafikli bir API oluşturuyorsanız.

Şu durumlarda Durumlu JWT kullanın: Güvenlik her şeyden önemliyse ve kullanıcıları platformdan anında atma veya kullanıcı başına birden fazla aktif oturumu yönetme yeteneğine ihtiyacınız varsa.