JWT-afkóðari

JWT er skilgreint í RFC 7519 (maí 2015), þar sem mælt er með að bera það fram eins og enska orðið „jot“. Algengasta undirritaða formið eru þrjár Base64url-strengir tengdir með punktum: header.payload.signature. Haus (header) tilgreinir undirritunaralgrímið í alg, svo sem HS256 eða RS256, og oft lykilauðkenni í kid. Gagnahlutinn (payload) geymir kröfur (claims), JSON-reiti eins og sub (notandinn), iss (útgefandinn), aud (ætlaður viðtakandi) og exp, nbf og iat, sem eru tímasetningar í sekúndum frá 1. janúar 1970 UTC. Afkóðarinn breytir þessum þremur í staðartíma og ISO 8601 og segir þér hvort táknið (token) er útrunnið, ekki orðið gilt enn eða innan gildistíma.

Base64url er kóðun en ekki dulritun, þannig að hver sem hefur tákn í höndunum getur lesið gagnahluta þess nákvæmlega eins og þessi síða gerir. Settu aldrei lykilorð, kortanúmer eða önnur leyndarmál í kröfur. Tákn með fimm hlutum aðskildum með punktum er JWE, dulritað tákn; innihald þess verður ekki lesið án lykilsins og afkóðarinn lætur þig vita af því. „Bearer “ fremst, afritað úr Authorization-haus, er fjarlægt sjálfkrafa.

Undirskriftin sannar að haus og gagnahluti voru útbúnir af einhverjum sem hefur lykilinn og hafa ekki breyst síðan. Til að sannreyna hana þarf þann lykil: sameiginlega leyndarmálið fyrir HMAC-algrím eins og HS256, eða opinberan lykil útgefanda fyrir RS256, ES256 eða EdDSA. Það er slæm hugmynd að líma undirritunarleyndarmál úr framleiðsluumhverfi inn á vefsíðu, og afkóðari sem léti eins og hann gæti staðfest tákn án þess gæfi falskt öryggi. Því sýnir þetta tól undirskriftina en sannreynir hana ekki. Líttu á það sem þú sérð sem fullyrðingu táknsins, ekki staðreynd.

Sannreyning á heima á þjóninum þínum, með viðhaldnu safni (library) þar sem væntanlegt algrím er fest. Tvenn söguleg mistök skýra hvers vegna: að samþykkja alg „none“, sem gerir hverjum sem er kleift að falsa óundirritað tákn, og algrímsruglingur, þar sem þjónn sem býst við RS256 er blekktur til að athuga HS256-undirskrift með opinbera lyklinum sem HMAC-leyndarmáli. Afkóðari er til villuleitar: til að sjá hvaða kröfur þjónustuaðili gefur út, finna rangan viðtakanda eða komast að því að lota mistókst af því að exp rann út fyrir mínútu. Til að lesa Base64url-hlutana óunna skaltu nota Base64-afkóðara.