OAuth 2.0 y autorización JWT en JavaScript: guía completa para principiantes

Introducción a OAuth 2.0 y JWT: ¿qué son y para qué sirven?

Las aplicaciones web modernas rara vez prescinden de un sistema de autorización. Ya sea iniciar sesión con Google, acceder a una API o proteger rutas en su aplicación Node.js, necesitará OAuth 2.0 y JWT (JSON Web Tokens). Estas tecnologías se han convertido en el estándar de facto para el intercambio seguro de datos entre cliente y servidor.

En este artículo, analizaremos cómo funcionan OAuth 2.0 y JWT, y crearemos un sistema de autorización simple en JavaScript (Node.js). El material está dirigido a desarrolladores principiantes, por lo que pasaremos de la teoría a la práctica con ejemplos de código detallados.

Parte 1: ¿Qué es OAuth 2.0 y cómo funciona?

OAuth 2.0 es un protocolo de autorización que permite a las aplicaciones obtener acceso limitado a los recursos del usuario sin compartir la contraseña. Imagine que quiere iniciar sesión en un sitio web con su cuenta de Google. OAuth 2.0 es el encargado de este proceso.

Roles principales en OAuth 2.0

\n
• Resource Owner — el usuario propietario de los datos.
\n
• Client — su aplicación (por ejemplo, un servidor Node.js).
\n
• Authorization Server — el servidor que emite tokens (por ejemplo, Google, GitHub).
\n
• Resource Server — el servidor que almacena los datos del usuario.
\n

Flujo típico de OAuth 2.0 (Authorization Code Grant)

\n
1. El usuario hace clic en «Iniciar sesión con Google».
\n
2. La aplicación lo redirige al servidor de autorización de Google.
\n
3. El usuario da su consentimiento.
\n
4. Google devuelve un authorization code al servidor de la aplicación.
\n
5. El servidor intercambia este código por un access token.
\n
6. El servidor usa el access token para acceder a los datos del usuario.
\n

En la práctica, para aplicaciones simples se suele usar JWT como formato del token de acceso.

Parte 2: JWT — estructura y principio de funcionamiento

JWT (JSON Web Token) es una forma compacta y autónoma de transferir información entre partes en forma de objeto JSON. El token está firmado, por lo que se puede verificar sin necesidad de consultar una base de datos.

Estructura de JWT

JWT consta de tres partes separadas por puntos (.):

header.payload.signature

\n
• Header — contiene el tipo de token y el algoritmo de firma (por ejemplo, HS256).
\n
• Payload — los datos (claims), como el ID del usuario, rol, tiempo de vida.
\n
• Signature — la firma creada con una clave secreta.
\n

Ejemplo de JWT decodificado

{\n  "alg": "HS256",\n  "typ": "JWT"\n}\n.\n{\n  "sub": "1234567890",\n  "name": "John Doe",\n  "iat": 1516239022,\n  "exp": 1516242622\n}\n.\n[signature]

Importante: el payload no está cifrado, solo firmado. ¡Nunca almacene datos confidenciales (contraseñas) en un JWT!

Parte 3: Implementación de autorización JWT en Node.js

Ahora pasemos a la práctica. Crearemos una API REST simple con Express.js y autorización JWT. Para ello necesitaremos las bibliotecas jsonwebtoken y bcryptjs.

Paso 1: Instalación de dependencias

npm init -y\nnpm install express jsonwebtoken bcryptjs dotenv\nnpm install --save-dev nodemon

Paso 2: Configuración básica del servidor

// server.js\nrequire('dotenv').config();\nconst express = require('express');\nconst jwt = require('jsonwebtoken');\nconst bcrypt = require('bcryptjs');\n\nconst app = express();\napp.use(express.json());\n\nconst users = []; // En un proyecto real — base de datos\n\nconst PORT = process.env.PORT || 3000;\nconst JWT_SECRET = process.env.JWT_SECRET || 'mysecretkey123';\n\napp.listen(PORT, () => {\n  console.log(`Server running on port ${PORT}`);\n});

                
                

                    

                        Blogs                    
                    

                                                    
                                

                                    

                                        
                                    
                                    
Escritura de documentación para proyectos C#: nivel avanzado
                                
                            
                                            
                

                
                

                    

                        Book Recommendations                    
                    

                                                    
                                

                                    

                                        
                                    
                                    
Seguridad de aplicaciones Kotlin: Guía completa
                                
                            
                                                    
                                

                                    

                                        
                                    
                                    
Programación funcional en C++: un enfoque moderno
                                
                            
                                                    
                                

                                    

                                        
                                    
                                    
Python para finanzas
                                
                            
                                                    
                                

                                    

                                        
                                    
                                    
CLR via C#. Programación en la plataforma Microsoft .NET Framework 4.5
                                
                            
                                            
                
            
    

  
Leer también
  

                
                  
                 Tiempo en milisegundos en Rust: 5 errores fatales y cómo evitarlos
      
                
                  
                 Concurrencia y multihilo en Swift: guía completa
      
                
                  
                 Cómo conseguir trabajo como desarrollador JavaScript: consejos y currículum en 2024
      
                
                  
                 Try-catch acelera el código? Análisis de la paradoja y errores en C#
      
                
                  
                 Operador ternario en Go: cómo reemplazar C y no volverse loco