Decodor JWT

JWT este definit în RFC 7519 (mai 2015), care recomandă pronunția ca în cuvântul englezesc „jot”. Forma semnată uzuală este alcătuită din trei șiruri Base64url unite prin puncte: header.payload.signature. Header-ul indică algoritmul de semnare în alg, de exemplu HS256 sau RS256, și adesea un ID de cheie în kid. Payload-ul conține claim-uri, adică câmpuri JSON precum sub (utilizatorul), iss (emitentul), aud (destinatarul vizat) și exp, nbf și iat, care sunt momente de timp exprimate în secunde de la 1 ianuarie 1970 UTC. Decodorul convertește aceste valori în ora locală și în ISO 8601 și vă spune dacă tokenul a expirat, nu este încă valid sau se află în intervalul de valabilitate.

Base64url este o codificare, nu o criptare, așa că oricine are un token îi poate citi payload-ul exact ca pe această pagină. Nu puneți niciodată parole, numere de card sau alte secrete în claim-uri. Un token cu cinci părți separate prin puncte este un JWE, adică un token criptat; conținutul lui nu poate fi citit fără cheie, iar decodorul vă anunță acest lucru. Prefixul „Bearer ” copiat dintr-un antet Authorization este eliminat automat.

Semnătura dovedește că header-ul și payload-ul au fost produse de cineva care deține cheia și că nu au fost modificate de atunci. Verificarea ei necesită acea cheie: secretul partajat pentru algoritmii HMAC precum HS256 sau cheia publică a emitentului pentru RS256, ES256 sau EdDSA. Introducerea unui secret de semnare din producție în orice pagină web este o idee proastă, iar un decodor care ar pretinde că garantează un token fără cheie ar crea o falsă siguranță, deci acest instrument afișează semnătura, dar nu o verifică. Considerați ce vedeți drept o afirmație făcută de token, nu drept un fapt.

Verificarea se face pe serverul dvs., cu o bibliotecă întreținută și cu algoritmul așteptat fixat. Două greșeli istorice explică de ce: acceptarea alg „none”, care permite oricui să falsifice un token nesemnat, și confuzia de algoritm, în care un server care așteaptă RS256 este păcălit să verifice o semnătură HS256 folosind cheia publică drept secret HMAC. Un decodor este util la depanare: vedeți ce claim-uri emite un furnizor, observați o audiență greșită sau aflați că o sesiune a eșuat pentru că exp a trecut cu un minut în urmă. Pentru a citi brut segmentele Base64url, folosiți decodorul Base64.