Dekoder JWT

JWT je opredeljen v RFC 7519 (maj 2015), ki predlaga izgovorjavo kot angleška beseda »jot«. Običajna podpisana oblika so trije nizi Base64url, ločeni s pikami: header.payload.signature. Glava (header) v polju alg navaja algoritem podpisovanja, na primer HS256 ali RS256, pogosto pa tudi ID ključa v kid. Vsebina (payload) vsebuje trditve (claims), torej polja JSON, kot so sub (uporabnik), iss (izdajatelj), aud (predvideno občinstvo) ter exp, nbf in iat, ki so časi v sekundah od 1. januarja 1970 UTC. Dekodirnik te tri vrednosti pretvori v vaš lokalni čas in ISO 8601 ter pove, ali je žeton potekel, še ni veljaven ali je znotraj obdobja veljavnosti.

Base64url je kodiranje, ne šifriranje, zato lahko vsakdo, ki ima žeton, prebere njegovo vsebino natanko tako kot ta stran. V trditve nikoli ne vstavljajte gesel, številk kartic ali drugih skrivnosti. Žeton s petimi deli, ločenimi s pikami, je JWE, šifriran žeton; brez ključa njegove vsebine ni mogoče prebrati, dekodirnik pa to tudi sporoči. Začetni »Bearer «, kopiran iz glave Authorization, se samodejno odstrani.

Podpis dokazuje, da je glavo in vsebino ustvaril nekdo, ki ima ključ, ter da se od takrat nista spremenili. Za preverjanje potrebujete ta ključ: skupno skrivnost za algoritme HMAC, kot je HS256, ali javni ključ izdajatelja za RS256, ES256 ali EdDSA. Lepljenje produkcijske skrivnosti za podpisovanje na katero koli spletno stran je slaba zzamisel, dekodirnik, ki bi brez ključa zagotavljal za pristnost žetona, pa bi dajal lažno varnost, zato to orodje podpis prikaže, a ga ne preverja. Videno obravnavajte kot trditev, ki jo poda žeton, ne kot dejstvo.

Preverjanje sodi na vaš strežnik, z vzdrževano knjižnico in določenim pričakovanim algoritmom. Zakaj, pojasnita dve zgodovinski napaki: sprejemanje alg »none«, ki komurkoli omogoča ponarejanje nepodpisanega žetona, in zamenjava algoritma, pri kateri strežnik, ki pričakuje RS256, preslepijo, da preveri podpis HS256 z javnim ključem kot skrivnostjo HMAC. Dekodirnik je namenjen odpravljanju napak: ogledu trditev, ki jih izdaja ponudnik, odkrivanju napačnega občinstva ali ugotovitvi, da je seja spodletela, ker je exp potekel pred minuto. Za surov ogled segmentov Base64url uporabite dekodirnik Base64.