Dekodér JWT

JWT je definován v RFC 7519 (květen 2015), které doporučuje vyslovovat zkratku jako anglické slovo „jot“. Běžná podepsaná podoba jsou tři řetězce Base64url spojené tečkami: header.payload.signature. Hlavička (header) uvádí v poli alg podpisový algoritmus, například HS256 nebo RS256, a často také ID klíče v poli kid. Payload obsahuje claimy, tedy pole JSON jako sub (uživatel), iss (vydavatel), aud (zamýšlený příjemce) a exp, nbf a iat, což jsou časy v sekundách od 1. ledna 1970 UTC. Dekodér tyto tři části převede na váš místní čas a ISO 8601 a sdělí, zda token už vypršel, ještě není platný, nebo je uvnitř svého časového okna.

Base64url je kódování, nikoli šifrování, takže kdokoli, kdo token drží, si může přečíst jeho payload přesně tak, jako to dělá tato stránka. Do claimů nikdy nevkládejte hesla, čísla karet ani jiná tajemství. Token s pěti částmi oddělenými tečkami je JWE, tedy šifrovaný token; jeho obsah nelze bez klíče přečíst a dekodér to oznámí. Úvodní „Bearer “ zkopírované z hlavičky Authorization se odstraní automaticky.

Podpis dokládá, že hlavičku a payload vytvořil někdo, kdo drží klíč, a že se od té doby nezměnily. K jeho ověření je potřeba onen klíč: sdílené tajemství u algoritmů HMAC jako HS256, nebo veřejný klíč vydavatele u RS256, ES256 či EdDSA. Vkládat produkční podpisové tajemství do jakékoli webové stránky je špatný nápad a dekodér, který by bez něj předstíral, že za token ručí, by vzbuzoval falešný pocit jistoty, proto tento nástroj podpis zobrazuje, ale neověřuje. Berte, co vidíte, jako tvrzení, které token uvádí, ne jako fakt.

Ověřování patří na váš server, s udržovanou knihovnou a pevně nastaveným očekávaným algoritmem. Vysvětlují to dvě historické chyby: přijímání alg „none“, které komukoli umožní zfalšovat nepodepsaný token, a záměna algoritmu, kdy se server očekávající RS256 nechá oklamat, aby ověřil podpis HS256 s veřejným klíčem použitým jako tajemství HMAC. Dekodér slouží k ladění: zjistíte, jaké claimy poskytovatel vydává, odhalíte chybného příjemce (aud) nebo zjistíte, že relace selhala, protože exp vypršelo před minutou. Chcete-li si přečíst surové segmenty Base64url, použijte dekodér Base64.