Token Auth

Autentica cada requisição com um JWT assinado (HMAC-SHA256), verificado em qualquer instância sem consultar banco. Dois tokens: access de 15 minutos no header Authorization, refresh de 7 dias num cookie HttpOnly. O refresh é rotacionado a cada uso, e a revogação — por token (jti) ou por usuário (versão) — fica no Redis, com TTL igual à vida restante do token.

passos: 6
arquivos: 5
testes: 0
tecnologias: 5

Infraestrutura realTypeScriptBunElysiaRedisDocker

Cenário Relações Comparar

Baixar cartão

Cenário

Maria entra no app do banco e consulta o saldo. O app renova a sessão com o refresh token, que é rotacionado. Um atacante que roubou o refresh antigo tenta usá-lo: o reuso é detectado e todas as sessões de Maria caem, inclusive a do atacante. No logout, o access e o refresh são revogados na hora. Um token com roles editado para admin falha na assinatura.

Planta

Sequência

9/9

9 passos — reproduza para seguir o fluxo

chamada
resposta ou assíncrono
falha
passo
toque num participante para focar
Outras plantas de sequência

Como funciona

6 passos

Token assinado prova a identidade.

Esconde cada passo: lembre antes de tocar para revelar.

Vocabulário compartilhado

SET NX+3

type+2

timingSafeEqual+1

Gatekeeper

INCR+1

Leader Election

resolve+1

Dependency Injection

01
tokenSign monta header.payload em base64url e assina com HMAC-SHA256; os claims levam type, jti, ver, iat e exp — e nada sensível, porque não são cifrados
02
tokenVerifySigned confere o header exato (barra alg: none), a assinatura com timingSafeEqual após checar o tamanho, o type e o exp
03
tokenIsLive consulta o Redis: jti na blacklist ou ver diferente da versão atual do usuário recusam o token
04
/auth/refresh revoga o refresh com SET NX; se ele já estava revogado, é reuso — INCR na versão derruba todas as sessões
05
/auth/logout revoga access e refresh com TTL = tempo restante; /auth/logout-all só incrementa a versão
06
O guard (resolve) vale para as rotas registradas depois dele: login e refresh ficam abertos

Trade-offs

O que se ganha, o que se paga

4 vantagenscada ganho tem um preço4 custos

Vantagens

Assinatura verificada localmente, sem banco por requisição
Access curto limita o dano de um token interceptado
Versão por usuário encerra todas as sessões com um INCR
Payload legível facilita depuração

Custos

Revogação imediata exige uma ida ao Redis por requisição
Refresh longo precisa de rotação e detecção de reuso
Encerrar todas as sessões também derruba o dono legítimo
Nada sensível pode ir nos claims; o segredo HMAC vazado permite forjar qualquer token

apps/security/token-auth

5 arquivos

src/

token_jwt.tsAssinatura e verificação HS256 em tempo constante, tipo e expiração
token_store.tsUsuários, blacklist de jti com TTL e versão por usuário no Redis
api_auth.tsLogin, refresh com rotação e detecção de reuso, logout, logout-all e rota protegida
config_token.tsConfiguração validada do ambiente
demo.tsdemoSessão, rotação, replay do refresh, logout e token adulterado