JWT Access Token & Refresh Token

Bu video, modern web uygulamalarında JWT (JSON Web Token), Access Token ve Refresh Token kullanımını temelden ileri seviyeye kadar detaylı bir şekilde açıklamaktadır. Mert Özen, token yönetiminin neden gerekli olduğunu ve güvenlik risklerini gerçek hayat senaryolarıyla pekiştirerek anlatmaktadır.

Öne çıkan konu başlıkları şunlardır:

• Temel Kavramlar: Access token'ın API erişimi için bir "kimlik bileti" olduğu, kısa ömürlü (5-15 dakika) tutulmasının önemi (0:02-0:05) ve JWT'nin yapısı (header, payload, signature) açıklanmıştır (0:05-0:08).
• Refresh Token Gerekliliği: Access token'ın stateless (durumsuz) yapısı nedeniyle anında iptalinin zor olduğunu, kullanıcı deneyimini bozmamak ve oturum yönetimini (logout, çoklu cihaz desteği) sağlamak için stateful bir yapı sunan refresh token'ın nasıl kullanılması gerektiği belirtilmiştir (0:09-0:10).
• Güvenlik Riskleri: XSS ve CSRF gibi saldırılara karşı token'ların istemci tarafında nereye konulacağı tartışılmıştır. Özellikle, refresh token'ların HttpOnly ve Secure Cookie yapısında saklanması gerektiği vurgulanırken, LocalStorage'ın güvenlik risklerine dikkat çekilmiştir (0:11-0:16).
• Senaryolar ve Uygulama: Çoklu oturum yönetimi, rotation (her yenilemede token değiştirme) ve reuse detection (çalınma şüphesi algılama) mekanizmaları ele alınmıştır (0:16-0:20).
• Kod Uygulaması: .NET Core üzerinde bir Web API projesi ile login, refresh ve logout işlemleri, veritabanı (Entity Framework Core) entegrasyonu ve token hashleme süreçleri uygulamalı olarak gösterilmiştir (0:20-0:49).