JWT-dekoder

JWT er defineret i RFC 7519 (maj 2015), som foreslår at udtale det som det engelske ord "jot". Den almindelige signerede form består af tre Base64url-strenge samlet med punktummer: header.payload.signature. Headeren angiver signeringsalgoritmen i alg, for eksempel HS256 eller RS256, og ofte et nøgle-id i kid. Payload indeholder claims, JSON-felter som sub (brugeren), iss (udstederen), aud (den tiltænkte modtager) samt exp, nbf og iat, som er tidspunkter i sekunder siden 1. januar 1970 UTC. Dekoderen omregner disse tre til din lokale tid og ISO 8601 og fortæller dig, om tokenet er udløbet, endnu ikke er gyldigt eller ligger inden for sin gyldighedsperiode.

Base64url er en kodning, ikke kryptering, så alle der har et token, kan læse dets payload præcis som denne side gør. Læg aldrig adgangskoder, kortnumre eller andre hemmeligheder i claims. Et token med fem dele adskilt af punktummer er en JWE, et krypteret token. Indholdet kan ikke læses uden nøglen, og dekoderen fortæller dig det. Et indledende "Bearer " kopieret fra en Authorization-header fjernes automatisk.

Signaturen beviser, at headeren og payload er lavet af en, der har nøglen, og at de ikke er ændret siden. Kontrollen kræver nøglen: den delte hemmelighed til HMAC-algoritmer som HS256 eller udstederens offentlige nøgle til RS256, ES256 eller EdDSA. Det er en dårlig idé at indsætte en signeringshemmelighed fra produktion på en webside, og en dekoder, der lod som om den kunne stå inde for et token uden nøgle, ville give falsk tryghed. Derfor viser dette værktøj signaturen, men verificerer den ikke. Betragt det, du ser, som noget tokenet hævder, ikke som fakta.

Verifikation hører hjemme på din server, med et vedligeholdt bibliotek og den forventede algoritme fastlåst. To historiske fejl forklarer hvorfor: at acceptere alg "none", som lader enhver forfalske et usigneret token, og algoritmeforveksling, hvor en server, der forventer RS256, narres til at kontrollere en HS256-signatur med den offentlige nøgle som HMAC-hemmelighed. En dekoder er til fejlfinding: at se hvilke claims en udbyder udsteder, opdage en forkert audience eller finde ud af, at en session fejlede, fordi exp udløb for et minut siden. Hvis du vil læse Base64url-segmenterne i rå form, kan du bruge Base64-dekoderen.