JWT dekóder

JWT je definovaný v RFC 7519 (máj 2015), ktorý odporúča vyslovovať ho ako anglické slovo „jot“. Bežná podpísaná podoba sú tri reťazce Base64url spojené bodkami: header.payload.signature. Hlavička (header) uvádza podpisový algoritmus v poli alg, napríklad HS256 alebo RS256, a často aj ID kľúča v kid. Payload obsahuje claimy, teda polia JSON ako sub (používateľ), iss (vydavateľ), aud (zamýšľané publikum) a exp, nbf a iat, čo sú časy v sekundách od 1. januára 1970 UTC. Dekodér tieto tri hodnoty prevedie na váš miestny čas a ISO 8601 a povie vám, či platnosť tokenu vypršala, či ešte nie je platný, alebo je v rámci svojho okna platnosti.

Base64url je kódovanie, nie šifrovanie, takže ktokoľvek, kto má token, si môže prečítať jeho payload presne tak, ako to robí táto stránka. Do claimov nikdy nevkladajte heslá, čísla kariet ani iné tajné údaje. Token s piatimi časťami oddelenými bodkami je JWE, teda šifrovaný token; jeho obsah sa bez kľúča prečítať nedá a dekodér to oznámi. Úvodné „Bearer “ skopírované z hlavičky Authorization sa odstráni automaticky.

Podpis dokazuje, že hlavičku a payload vytvoril niekto, kto má kľúč, a že sa odvtedy nezmenili. Na jeho kontrolu je potrebný ten kľúč: zdieľané tajomstvo pri algoritmoch HMAC ako HS256, alebo verejný kľúč vydavateľa pri RS256, ES256 alebo EdDSA. Vkladať produkčné podpisové tajomstvo do akejkoľvek webovej stránky je zlý nápad a dekodér, ktorý by bez neho predstieral, že za token ručí, by vyvolával falošný pocit istoty, preto tento nástroj podpis zobrazí, ale neoverí. To, čo vidíte, berte ako tvrdenie, ktoré token uvádza, nie ako fakt.

Overenie patrí na váš server, s použitím udržiavanej knižnice a pevne zadaným očakávaným algoritmom. Vysvetľujú to dve historické chyby: prijímanie alg „none“, ktoré komukoľvek umožní sfalšovať nepodpísaný token, a zámena algoritmu, pri ktorej sa server očakávajúci RS256 nechá oklamať a overí podpis HS256 s verejným kľúčom ako tajomstvom HMAC. Dekodér slúži na ladenie: zistíte, aké claimy poskytovateľ vydáva, všimnete si nesprávne publikum alebo zistíte, že relácia zlyhala, lebo exp vypršalo pred minútou. Na surové čítanie segmentov Base64url použite dekodér Base64.