Para comenzar, deberíamos analizar la diferencia entre una sesión y un sistema de authenticacionautenticación basada en tokens. JSON Web Token en este caso.
La principal diferencia es que JWT es stateless (sin estado), es decir, el servidor no mantiene el estado del cliente que se comunica. Por el otro lado, las sesiones si lo hacen. Dicho esto, con las sesiones el cliente se autentica una sola vez (por lo menos hasta que la sesión expire) pero el servidor necesita mantener un numero minimomínimo de datos de dicho cliente para mantener la sesión, por otro lado un token necesita ser enviado en cada peticionpetición al servidor para authenticar/validar la peticionpetición.
Piensa en los tokens como una pulsera de discoteca, (que previamente has comprado), puedes entrar y salir de dicha discoteca las veces que quieras, siempre y cuando presentes la pulsera en la entrada. En ese punto, es responsabilidad de la discoteca poder validar la pulsera, o sea, saber si es original, y no la has hecho tu mismo. A la discoteca no le importa donde la has comprado, cual es tu nombre, ni cuantas veces has entrado y salido, solo importa porderpoder definir si la pulsera (token) es verdadera. Todo esto en el contexto de la autenticación claro está.
Para una API, usar JSON Web Token tiene varias ventajas:
JWTs es auto-contenido, se lleva información dentro de sí mismo, como la infomacion del usuario por ejemplo. Esto te puede ahorra consultas en la base de datos.
Se pueden transferir facilmente por todos lados. Esto es util por ejemplo, si tienes varios microservicios y quieres que varios clientes (una aplicacion web y una mobile) se autentiquen con un mismo token. Basta que los servidores implicados conozcan la
salt
que se empleo para aplicar el hash sobre el token.Como es un estandarestándar, pudespuedes usarlo con difentesdiferentes tipos de plataformas y lenguajes de programación.
Si estas usando expressjs. Un buen punto de partida seria express-jwt
.