FR
RU
EN
ES
ZH
DE
PT
AR
HI
Introduction à OAuth 2.0 et JWT : qu'est-ce que c'est et pourquoi en avez-vous besoin ?
\nLes applications web modernes fonctionnent rarement sans système d'autorisation. Que ce soit la connexion via Google, l'accès à une API ou la protection de routes dans votre application Node.js — vous aurez besoin de OAuth 2.0 et de JWT (JSON Web Tokens). Ces technologies sont devenues le standard de facto pour l'échange sécurisé de données entre le client et le serveur.
\nDans cet article, nous allons voir comment fonctionnent OAuth 2.0 et JWT, et créer un système d'autorisation simple en JavaScript (Node.js). Ce contenu est destiné aux développeurs débutants, nous passerons donc de la théorie à la pratique avec des exemples de code détaillés.
\n\nPartie 1 : Qu'est-ce que OAuth 2.0 et comment fonctionne-t-il ?
\nOAuth 2.0 est un protocole d'autorisation qui permet aux applications d'obtenir un accès limité aux ressources d'un utilisateur sans transmettre son mot de passe. Imaginez que vous souhaitiez vous connecter à un site via votre compte Google. OAuth 2.0 est justement responsable de ce processus.
\nRôles principaux dans OAuth 2.0
\n- \n
- Resource Owner — l'utilisateur propriétaire des données. \n
- Client — votre application (par exemple, le serveur Node.js). \n
- Authorization Server — le serveur qui délivre les jetons (par exemple, Google, GitHub). \n
- Resource Server — le serveur qui stocke les données de l'utilisateur. \n
Flux typique d'OAuth 2.0 (Authorization Code Grant)
\n- \n
- L'utilisateur clique sur « Se connecter avec Google ». \n
- L'application le redirige vers le serveur d'autorisation de Google. \n
- L'utilisateur donne son consentement. \n
- Google renvoie un
authorization codeau serveur de l'application. \n - Le serveur échange ce code contre un
access token. \n - Le serveur utilise le access token pour accéder aux données de l'utilisateur. \n
En pratique, pour les applications simples, on utilise souvent JWT comme format de jeton d'accès.
\n\nPartie 2 : JWT — structure et principe de fonctionnement
\nJWT (JSON Web Token) est un moyen compact et autonome de transmettre des informations entre les parties sous la forme d'un objet JSON. Le jeton est signé, il peut donc être vérifié sans accès à la base de données.
\nStructure d'un JWT
\nUn JWT se compose de trois parties, séparées par des points (.) :
header.payload.signature- \n
- Header — contient le type de jeton et l'algorithme de signature (par exemple, HS256). \n
- Payload — les données (claims), par exemple, l'ID utilisateur, le rôle, la durée de vie. \n
- Signature — la signature, créée à l'aide d'une clé secrète. \n
Exemple de JWT décodé
\n{\n "alg": "HS256",\n "typ": "JWT"\n}\n.\n{\n "sub": "1234567890",\n "name": "John Doe",\n "iat": 1516239022,\n "exp": 1516242622\n}\n.\n[signature]Important : le payload n'est pas chiffré, seulement signé. Ne stockez jamais de données confidentielles (mots de passe) dans un JWT !
\n\nPartie 3 : Implémentation de l'autorisation JWT avec Node.js
\nPassons maintenant à la pratique. Nous allons créer une API REST simple avec Express.js et une autorisation JWT. Pour cela, nous aurons besoin des bibliothèques jsonwebtoken et bcryptjs.
Étape 1 : Installation des dépendances
\nnpm init -y\nnpm install express jsonwebtoken bcryptjs dotenv\nnpm install --save-dev nodemonÉtape 2 : Configuration de base du serveur
\n// server.js\nrequire('dotenv').config();\nconst express = require('express');\nconst jwt = require('jsonwebtoken');\nconst bcrypt = require('bcryptjs');\n\nconst app = express();\napp.use(express.json());\n\nconst users = []; // Dans un projet réel — base de données\n\nconst PORT = process.env.PORT || 3000;\nconst JWT_SECRET = process.env.JWT_SECRET || 'mysecretkey123';\n\napp.listen(PORT, () => {\n console.log(`Server running on port ${PORT}`);\n});
Blogs
Book Recommendations
Lire aussi
htmlentities() vs htmlspecialchars() : le combat des fonctions PHP
API Gateway pour les microservices en C# : guide complet
CQRS et Event Sourcing en Go : architecture pour les systèmes complexes
Code propre en Rust : principes et exemples pratiques
Tests d'intégration PHP avec Docker : niveau avancé