Dekoder JWT

JWT jest zdefiniowany w RFC 7519 (maj 2015), który sugeruje wymawianie go jak angielskie słowo „jot”. Typowa podpisana postać to trzy ciągi Base64url połączone kropkami: nagłówek.ładunek.podpis. Nagłówek (header) podaje algorytm podpisu w polu alg, np. HS256 lub RS256, a często także identyfikator klucza w kid. Ładunek (payload) zawiera oświadczenia (claims), czyli pola JSON takie jak sub (użytkownik), iss (wystawca), aud (odbiorca, dla którego token jest przeznaczony) oraz exp, nbf i iat, które są czasami wyrażonymi w sekundach od 1 stycznia 1970 UTC. Dekoder przelicza te trzy wartości na Twój czas lokalny i format ISO 8601 oraz informuje, czy token wygasł, czy jeszcze nie jest ważny, czy mieści się w okresie ważności.

Base64url to kodowanie, a nie szyfrowanie, więc każdy, kto ma token, może odczytać jego ładunek dokładnie tak jak na tej stronie. Nigdy nie umieszczaj w oświadczeniach haseł, numerów kart ani innych sekretów. Token składający się z pięciu części oddzielonych kropkami to JWE, czyli token zaszyfrowany; jego zawartości nie da się odczytać bez klucza, o czym dekoder informuje. Początkowe „Bearer ” skopiowane z nagłówka Authorization jest usuwane automatycznie.

Podpis dowodzi, że nagłówek i ładunek zostały utworzone przez posiadacza klucza i od tamtej pory nie zostały zmienione. Jego sprawdzenie wymaga tego klucza: wspólnego sekretu dla algorytmów HMAC, takich jak HS256, albo klucza publicznego wystawcy dla RS256, ES256 lub EdDSA. Wklejanie produkcyjnego sekretu podpisującego na jakąkolwiek stronę internetową to zły pomysł, a dekoder udający, że poświadcza token bez klucza, dawałby fałszywe poczucie bezpieczeństwa, dlatego to narzędzie pokazuje podpis, ale go nie weryfikuje. Traktuj to, co widzisz, jako twierdzenie zawarte w tokenie, a nie jako fakt.

Weryfikacja powinna odbywać się na Twoim serwerze, z użyciem utrzymywanej biblioteki i z narzuconym oczekiwanym algorytmem. Wyjaśniają to dwa historyczne błędy: akceptowanie alg „none”, które pozwala każdemu sfałszować niepodpisany token, oraz pomylenie algorytmów, gdy serwer oczekujący RS256 zostaje nakłoniony do sprawdzenia podpisu HS256 z użyciem klucza publicznego jako sekretu HMAC. Dekoder służy do debugowania: pozwala zobaczyć, jakie oświadczenia wystawia dostawca, zauważyć błędnego odbiorcę (aud) albo odkryć, że sesja przestała działać, bo exp minął minutę temu. Aby odczytać surowe segmenty Base64url, użyj dekodera Base64.