JWT (JSON Web Token), modern web uygulamalarında kullanıcı kimlik doğrulamasını ve bilgilerin güvenli bir şekilde paylaşımını sağlamak için kullanılan hafif bir mekanizmadır. Özellikle stateless (durumsuz) mimarideki uygulamalar için ideal bir çözümdür.

## JWT Nedir?

JSON Web Token (JWT), iki taraf arasında güvenli bir şekilde bilgi aktarımı için kullanılan açık standart (RFC 7519) bir formattır. JSON formatında olan bu token, üç parçadan oluşur: Header (başlık), Payload (yük) ve Signature (imza).

## JWT Parçaları

- **Header**: JWT’nin algoritmasını ve türünü belirtir. Genellikle `alg` ve `typ` alanlarını içerir. Örnek: `{ "alg": "HS256", "typ": "JWT" }`

- **Payload**: Token içerisinde taşınan aslî veridir. Kullanıcı bilgileri, roller, izinler veya başka özel veriler bu bölümde yer alır. Doğruluk kontrolü yapılmadığı sürece bu veri herkes tarafından okunabilir.

- **Signature**: Token’ın bütünlüğünü korumak amacıyla oluşturulan imzadır. Header ve Payload HMACSHA256 gibi bir algoritma ile imzalanır.

## JWT ile Kimlik Doğrulama Akışı

JWT ile kimlik doğrulama işlemi temelde şu şekilde çalışır:

1. Kullanıcı, kullanıcı adı ve şifre ile giriş isteği gönderir.
2. Sunucu, kullanıcı bilgilerini doğrularsa, bir JWT üretir ve istemciye gönderir.
3. İstemci, bu token'ı sonraki tüm isteklerin Authorization başlığına `Bearer {token}` biçiminde ekler.
4. Sunucu, gelen token'ı doğrular ve geçerliyse isteği işler.

## Örnek JWT Üretimi (Node.js)

```javascript
const jwt = require('jsonwebtoken');

const user = { id: 1, username: 'user1', role: 'admin' };
const secretKey = 'mysecret';

const token = jwt.sign(user, secretKey, { expiresIn: '1h' });
console.log(token);
```

## Token Doğrulama

Token doğrulanırken hem imzanın hem de sürenin kontrolü yapılmalıdır. Örnek:

```javascript
jwt.verify(token, secretKey, (err, decoded) => {
  if (err) {
    return res.status(401).send('Yetkisiz erişim!');
  }
  req.user = decoded; // Token’dan gelen veriler kullanıcı nesnesi olarak atanır
  next();
});
```

## Güvenlik Önlemleri

JWT kullanımı sırasında uyulması gereken bazı önemli güvenlik önlemleri vardır:

- **Kısa süreli token kullanımı:** Token’ın ömrü kısa olmalıdır. Eğer token çalınırsa daha az zarar verir.

- **HTTPS kullanımı:** Token'lar açık bir şekilde taşındığı için, TLS olmadan iletildiğinde ortadaki adam saldırılarına (MiTM) açık hale gelir.

- **Token yenileme mekanizması (Refresh Token):** Erişim token’larının süresinin kisa olması nedeniyle kullanıcı çıkış yapmadan yeni token alabilmeli. Bu, refresh token yapısıyla sağlanır.

## Access Token ve Refresh Token Kullanımı

JWT, hem `Access Token` hem de `Refresh Token` olarak rol alabilir:

- **Access Token:** Kısa ömürlüdür ve API erişimlerinde kullanılır.
- **Refresh Token:** Daha uzun ömürlüdür ve yalnızca yeni access token üretmek için kullanılır.

Token yenileme için tipik senaryo:

1. Kullanıcı başarıyla giriş yaptığında, hem access hem de refresh token sunucu tarafından üretilir.
2. Access token süresi sona erdiğinde istemci, refresh token ile bir endpoint'e başvurarak yeni access token alır.
3. Refresh token da süresini doldurduysa veya iptal edildiyse, kullanıcı tekrar giriş yapmak zorundadır.

## Blacklist ve Token İptali

JWT'lerin stateless yapısı, genellikle sunucuda oturum tutmayı gereksiz hale getirir. Ancak bu, token’ın geçerliliğini iptal etmeyi zorlaştırır. Bir kullanıcı sistemden çıkış yaptığında veya token çalındığında, bu token’ı nasıl iptal edeceğimizi hesaplamalıyız. Bu hedefle kara liste (blacklist) yapısı kullanılabilir.

- Redis gibi bellek tabanlı veritabanında iptal edilen token değerleri saklanabilir.
- Her API isteğinde token’ın blacklist’te olup olmadığı kontrol edilir.

## JWT Middleware Kullanımı (Express.js)

Token doğrulamanın her API endpoint'inde yapılması yerine, bir middleware ile merkezi hale getirilebilir:

```javascript
function authenticateJWT(req, res, next) {
  const authHeader = req.headers.authorization;

  if (authHeader) {
    const token = authHeader.split(' ')[1];

    jwt.verify(token, secretKey, (err, user) => {
      if (err) {
        return res.sendStatus(403);
      }

      req.user = user;
      next();
    });
  } else {
    res.sendStatus(401);
  }
}
```

Bu middleware, korumak istediğiniz rotalarda kullanılabilir:

```javascript
app.get('/dashboard', authenticateJWT, (req, res) => {
  res.send('Dashboard verileriniz');
});
```

## JWT ile Yetkilendirme (Authorization)

JWT payload içinde kullanıcının rol bilgilerini ekleyerek yetkilendirme işlemini yapabilirsiniz.

Örneğin Token Payload:

```json
{
  "id": 1,
  "username": "user1",
  "role": "admin"
}
```

Middleware seviyesinde basit bir kontrol:

```javascript
function authorizeRole(role) {
  return (req, res, next) => {
    if (req.user.role !== role) {
      return res.sendStatus(403);
    }
    next();
  };
}
```

Kullanım:

```javascript
app.get('/admin', authenticateJWT, authorizeRole('admin'), (req, res) => {
  res.send('Admin paneli');
});
```

## JWT’nin Avantajları

- Sunucu tarafında oturum saklamaya gerek yoktur.
- Mikroservis mimarilerinde, stateless şekilde erişim yönetimi sağlar.
- Token taşınabilir ve farklı kaynaklarda güvenli şekilde kullanılabilir.

## JWT’nin Sınırlamaları

- Token süresince erişim geçerliliği devam eder. Böylece token çalınırsa kötüye kullanılabilir.
- Blacklist yapılandırması ekstra kaynak tüketir.
- Kaybolan ya da süresi dolan refresh token'ların yönetimi zordur.

## Sonuç

JWT ile kimlik doğrulama, modern web servislerinin güvenliğini sağlamak için oldukça etkili bir yöntemdir. Özellikle durumsuz mimariye sahip sistemlerde sade ve performanslı bir çözüm sunar. Ancak güvenlik önlemleri ve token yönetimi doğru uygulanmazsa ciddi açıklar oluşabilir. Bu nedenle access/refresh token ayrımını doğru yapmak, HTTPS kullanmak, blacklist stratejilerini uygulamak gereklidir.

JWT ile Kimlik Doğrulama Nasıl Yapılır?

Web dünyasında uygulamalar arasında veri alışverişi giderek daha önemli hale gelmiştir. Bu noktada REST API'ler, sistemler arası iletişimin temel yapı taşlarından biri olmuştur. Peki REST API nedir ve nasıl geliştirilir?

## REST API Nedir?

REST (Representational State Transfer), HTTP protokolü üzerinden istemci-sunucu arasında haberleşmeyi sağlayan bir yazılım mimari tarzıdır. RESTful API ise bu mimariye uygun geliştirilen arayüzlerdir. REST’in temel prensipleri şunlardır:

- **İstemci-Sunucu Ayrımı (Client-Server)**: Arayüz ile veri sağlayıcı katmanlar birbirinden ayrıdır.
- **Stateless**: Her istek birbirinden bağımsızdır; sunucu istemci hakkında hiçbir durum bilgisi tutmaz.
- **Cachelenebilirlik**: Cevaplar cachelenebilir olmalıdır.
- **Katmanlı Sistem**: API birden çok katmandan oluşabilir, örneğin proxy veya load balancer gibi.
- **İşlevsel Arayüz (Uniform Interface)**: Tüm kaynaklara erişim yolu standart olmalıdır.

## HTTP Methodları ve Kaynak Tasarımı

REST API’lerde temel HTTP methodları aşağıdaki gibidir:

- GET: Veri okuma
- POST: Yeni veri oluşturma
- PUT: Mevcut veriyi tamamen güncelleme
- PATCH: Mevcut veriyi kısmen güncelleme
- DELETE: Veri silme

Örnek bir kaynak URL’si:

```
GET /api/v1/users
POST /api/v1/users
GET /api/v1/users/42
PUT /api/v1/users/42
DELETE /api/v1/users/42
```

## JSON: Tercih Edilen Veri Formatı

REST API'lerde en yaygın kullanılan veri formatı JSON’dur. Hafif ve okunabilir yapısı ile hem istemci hem de sunucu tarafından kolaylıkla işlenebilir. Tipik bir JSON cevabı şu şekilde olabilir:

```json
{
  "id": 42,
  "name": "Mehmet",
  "email": "mehmet@example.com"
}
```

## REST API Nasıl Geliştirilir?

Bir REST API geliştirmek istiyorsanız aşağıdaki adımları izleyebilirsiniz:

### 1. İhtiyaç Analizi ve Kaynakların Belirlenmesi

Öncelikle API’nizin hangi kaynaklara (users, products, orders vb.) hizmet edeceğini belirlemeniz gerekir. Her kaynak bir veri kümesini temsil eder.

### 2. URL Tasarımı ve Versiyonlama

REST API'lerde anlaşılır, hiyerarşik ve sade URL’ler tercih edilmelidir. Ayrıca versiyonlama ile geri uyumluluğu koruyabilirsiniz:

```
/api/v1/users
```

Versiyonlama yöntemleri:

- URI bazlı versiyonlama
- Header bazlı versiyonlama

### 3. HTTP Status Kodları Kullanımı

REST API gelişiminde uygun HTTP status kodlarını döndürmek önemlidir. Yaygın kullanılanlar şunlardır:

- 200 OK – Başarılı istek
- 201 Created – Yeni veri oluşturuldu
- 204 No Content – İçerik yok (DELETE sonrası)
- 400 Bad Request – Hatalı istek
- 401 Unauthorized – Kimlik doğrulama gerekiyor
- 404 Not Found – Kaynak bulunamadı
- 500 Internal Server Error – Sunucu hatası

### 4. Exception Handling (Hata Yönetimi)

API kullanıcılarına anlaşılır hata mesajları göndermek kullanıcı deneyimi açısından kritiktir. Hatalar standart bir yapıda dönmelidir:

```json
{
  "status": 400,
  "error": "Bad Request",
  "message": "E-mail alanı zorunludur"
}
```

### 5. Authentication ve Authorization

REST API’ler genellikle JWT, OAuth 2.0 gibi yöntemlerle korunur. API’ye gelen her isteğin doğrulama mekanizmasından geçtiğinden emin olun. Kullanıcıların sadece erişmeye yetkili oldukları kaynaklara ulaşması gerekir.

### 6. Rate Limiting ve Güvenlik

DoS saldırılarını önlemek amacıyla IP bazlı rate limiting uygulanabilir. Güvenlik için HTTPS zorunlu olmalı ve input validation eksiksiz yapılmalıdır.

### 7. Swagger ve OpenAPI ile Dokümantasyon

API’nizin anlaşılır ve erişilebilir olması için OpenAPI standardını (eski adıyla Swagger) kullanabilirsiniz:

- API endpoint’leri otomatik belge haline gelir.
- Kullanıcılar API’yi test edebilir ve daha kolay entegre olabilir.

### 8. Test Etme

Unit ve integration testleri ile API’nizin işlevselliği sürekli kontrol edilmelidir. Postman, Insomnia gibi araçlarla manuel test yapılırken, Jest, Mocha, PHPUnit gibi test framework’lerinden de yararlanılabilir.

### 9. Performans İyileştirme

REST API performansı; sorgu optimizasyonu, database index’leri, cache mekanizmaları (Redis, Memcached) ve CDN'lerle artırılabilir. Ayrıca gzip ve benzeri HTTP sıkıştırmaları ile veri boyutu azaltılabilir.

### 10. Deployment Süreci

API’nizi geliştirip test ettikten sonra CI/CD süreçleri ile deployment gerçekleştirebilirsiniz. Kubernetes, Docker, Jenkins, GitHub Actions gibi araçlar otomasyon açısından oldukça güçlüdür.

## En İyi REST API Geliştirme Pratikleri

- API endpoint’lerinin anlamlı ve belirgin olması
- Standart JSON yapılarına uyum
- Versiyonlama desteği
- Güvenlik önlemleri (JWT, HTTPS, CORS)
- Rate limiting ve logging
- Swagger/OpenAPI desteği
- Performans ve hata yönetimi uygulamaları

## REST API ile Mikroservis Entegrasyonu

REST API’ler mikroservis mimarilerinde servisler arası iletişimde sıkça kullanılır. Bir sipariş sistemi ödeme servisi, kullanıcı servisi ve ürün servisine REST API aracılığıyla erişebilir. Her servis ayrı bir REST API sunar.

Bu noktada API Gateway çözümleri (NGINX, Kong) ile servisler orkestre edilebilir, cache, load balancing ve autentikasyon merkezi olarak sağlanabilir.

## Sonuç

REST API'ler günümüz yazılım geliştirme süreçlerinin vazgeçilmez parçalarından biridir. Sağlam bir mimari, standartlara uygunluk, güvenlik ve performans odaklı geliştirme ile başarılı bir REST API inşa etmek mümkündür. Bu nedenle REST mimarisinin temel prensiplerini öğrenmek ve uygulamak, yazılım geliştiriciler için kritik bir beceridir.

"JSON" Anahtar Kelimesi

JWT ile Kimlik Doğrulama Nasıl Yapılır?

REST API Nedir? Nasıl Geliştirilir?