JWT-dekodeerder

JWT word in RFC 7519 (Mei 2015) gedefinieer, wat voorstel dat dit soos die Engelse woord "jot" uitgespreek word. Die gewone ondertekende vorm bestaan uit drie Base64url-stringe wat met punte verbind word: header.payload.signature. Die header noem die ondertekeningsalgoritme in alg, soos HS256 of RS256, en dikwels 'n sleutel-ID in kid. Die payload bevat eise (claims), JSON-velde soos sub (die gebruiker), iss (die uitreiker), aud (die beoogde teikengehoor) en exp, nbf en iat, wat tye in sekondes sedert 1 Januarie 1970 UTC is. Die dekodeerder skakel hierdie drie om na jou plaaslike tyd en ISO 8601, en sê vir jou of die token verval het, nog nie geldig is nie, of binne sy geldigheidsvenster val.

Base64url is 'n enkodering, nie enkripsie nie, so enigiemand wat 'n token het, kan die payload presies soos hierdie bladsy lees. Moet nooit wagwoorde, kaartnommers of ander geheime in eise sit nie. 'n Token met vyf dele wat deur punte geskei word, is 'n JWE, 'n geënkripteerde token; die inhoud daarvan kan nie sonder die sleutel gelees word nie, en die dekodeerder sê dit. 'n Voorste "Bearer " wat uit 'n Authorization-header gekopieer is, word outomaties verwyder.

Die handtekening bewys dat die header en payload deur iemand met die sleutel geskep is en sedertdien nie verander is nie. Om dit na te gaan, het jy daardie sleutel nodig: die gedeelde geheim vir HMAC-algoritmes soos HS256, of die uitreiker se publieke sleutel vir RS256, ES256 of EdDSA. Dit is 'n slegte idee om 'n produksie-ondertekeningsgeheim in enige webblad te plak, en 'n dekodeerder wat voorgee om vir 'n token in te staan sonder sleutel sou valse gerustheid gee, so hierdie gereedskap wys die handtekening maar verifieer dit nie. Beskou wat jy sien as 'n bewering wat die token maak, nie as feit nie.

Verifikasie hoort op jou bediener, met 'n onderhoude biblioteek en die verwagte algoritme vasgepen. Twee historiese foute verduidelik hoekom: om alg "none" te aanvaar, wat enigiemand toelaat om 'n ongetekende token te vervals, en algoritmeverwarring, waar 'n bediener wat RS256 verwag, mislei word om 'n HS256-handtekening te kontroleer met die publieke sleutel as die HMAC-geheim. 'n Dekodeerder is vir ontfouting: om te sien watter eise 'n verskaffer uitreik, 'n verkeerde aud raak te sien, of uit te vind dat 'n sessie misluk het omdat exp 'n minuut gelede verstryk het. Om die Base64url-segmente rou te lees, gebruik die Base64-dekodeerder.