Αποκωδικοποιητής JWT

Το JWT ορίζεται στο RFC 7519 (Μάιος 2015), το οποίο προτείνει να προφέρεται όπως η αγγλική λέξη «jot». Η συνηθισμένη υπογεγραμμένη μορφή αποτελείται από τρία αλφαριθμητικά Base64url ενωμένα με τελείες: header.payload.signature. Η κεφαλίδα (header) ορίζει στο alg τον αλγόριθμο υπογραφής, όπως HS256 ή RS256, και συχνά στο kid το αναγνωριστικό του κλειδιού. Το ωφέλιμο φορτίο (payload) περιέχει claims, δηλαδή πεδία JSON όπως sub (ο χρήστης), iss (ο εκδότης), aud (το προοριζόμενο κοινό) και exp, nbf και iat, που είναι χρόνοι σε δευτερόλεπτα από την 1η Ιανουαρίου 1970 UTC. Ο αποκωδικοποιητής μετατρέπει αυτούς τους τρεις χρόνους στην τοπική σας ώρα και σε ISO 8601 και σας λέει αν το token έχει λήξει, αν δεν ισχύει ακόμη ή αν βρίσκεται εντός του χρονικού του παραθύρου.

Το Base64url είναι κωδικοποίηση, όχι κρυπτογράφηση, επομένως όποιος έχει ένα token μπορεί να διαβάσει το ωφέλιμο φορτίο του ακριβώς όπως κάνει αυτή η σελίδα. Μην τοποθετείτε ποτέ κωδικούς πρόσβασης, αριθμούς καρτών ή άλλα μυστικά στα claims. Ένα token με πέντε μέρη χωρισμένα με τελείες είναι JWE, δηλαδή κρυπτογραφημένο token· το περιεχόμενό του δεν διαβάζεται χωρίς το κλειδί και ο αποκωδικοποιητής το αναφέρει. Το αρχικό «Bearer » που αντιγράφεται από μια κεφαλίδα Authorization αφαιρείται αυτόματα.

Η υπογραφή αποδεικνύει ότι η κεφαλίδα και το ωφέλιμο φορτίο δημιουργήθηκαν από κάποιον που κατέχει το κλειδί και δεν έχουν αλλοιωθεί από τότε. Ο έλεγχός της απαιτεί αυτό το κλειδί: το κοινό μυστικό για αλγορίθμους HMAC όπως το HS256 ή το δημόσιο κλειδί του εκδότη για RS256, ES256 ή EdDSA. Η επικόλληση ενός μυστικού υπογραφής παραγωγής σε οποιαδήποτε ιστοσελίδα είναι κακή ιδέα, και ένας αποκωδικοποιητής που θα εγγυόταν για ένα token χωρίς κλειδί θα έδινε ψευδή ασφάλεια. Γι' αυτό το εργαλείο εμφανίζει την υπογραφή αλλά δεν την επαληθεύει. Αντιμετωπίστε όσα βλέπετε ως ισχυρισμό του token και όχι ως γεγονός.

Η επαλήθευση ανήκει στον διακομιστή σας, με μια συντηρούμενη βιβλιοθήκη και καθορισμένο τον αναμενόμενο αλγόριθμο. Δύο ιστορικά λάθη εξηγούν το γιατί: η αποδοχή του alg «none», που επιτρέπει σε οποιονδήποτε να πλαστογραφήσει ένα ανυπόγραφο token, και η σύγχυση αλγορίθμου, όπου ένας διακομιστής που περιμένει RS256 εξαπατάται ώστε να ελέγξει μια υπογραφή HS256 χρησιμοποιώντας το δημόσιο κλειδί ως μυστικό HMAC. Ο αποκωδικοποιητής προορίζεται για αποσφαλμάτωση: για να δείτε ποια claims εκδίδει ένας πάροχος, να εντοπίσετε λάθος audience ή να διαπιστώσετε ότι μια συνεδρία απέτυχε επειδή το exp πέρασε πριν από ένα λεπτό. Για να διαβάσετε τα τμήματα Base64url ωμά, χρησιμοποιήστε τον αποκωδικοποιητή Base64.