Урок 12 дал рабочий минимум HTTP: методы, статус-коды, тело. Но любой реальный API сложнее «одного запроса — одного ответа»: сервер должен помнить, кто вы, а вы — доказывать это каждым запросом. Сегодня разбираем механизм состояния в stateless-протоколе: cookies, сессии, токены, OAuth 2.0 и JWT — с историей, разбором уязвимостей и практикой в DevTools и Postman. Практических причины три. Первая: большинство багов авторизации не видны без понимания механики. Сессия «не умирает» после logout, токен...