JWT டிகோடர்

JWT என்பது RFC 7519 (மே 2015) இல் வரையறுக்கப்பட்டது; இதை ஆங்கிலச் சொல் "jot" போல உச்சரிக்கலாம் என்று அது பரிந்துரைக்கிறது. பொதுவான கையொப்பமிட்ட வடிவம், புள்ளிகளால் இணைக்கப்பட்ட மூன்று Base64url சரங்கள்: header.payload.signature. header பகுதி alg இல் HS256 அல்லது RS256 போன்ற கையொப்ப அல்காரிதத்தையும், பெரும்பாலும் kid இல் ஒரு கீ ஐடியையும் குறிப்பிடும். payload பகுதியில் claims இருக்கும்; இவை sub (பயனர்), iss (வழங்குநர்), aud (உத்தேசிக்கப்பட்ட பார்வையாளர்) மற்றும் exp, nbf, iat போன்ற JSON புலங்கள். exp, nbf, iat ஆகியவை 1 ஜனவரி 1970 UTC முதல் கடந்த வினாடிகளில் உள்ள நேரங்கள். டிகோடர் இம்மூன்றையும் உங்கள் உள்ளூர் நேரத்திற்கும் ISO 8601 வடிவத்திற்கும் மாற்றி, டோக்கன் காலாவதியாகிவிட்டதா, இன்னும் செல்லுபடியாகத் தொடங்கவில்லையா, அல்லது செல்லுபடி காலத்துக்குள் உள்ளதா என்பதையும் காட்டும்.

Base64url என்பது என்கோடிங், குறியாக்கம் (encryption) அல்ல. எனவே டோக்கன் கையில் உள்ள எவரும் இந்தப் பக்கம் செய்வது போலவே அதன் payload-ஐப் படிக்கலாம். கடவுச்சொற்கள், கார்டு எண்கள் போன்ற ரகசியங்களை claims-இல் ஒருபோதும் வைக்காதீர்கள். புள்ளிகளால் பிரிக்கப்பட்ட ஐந்து பகுதிகள் கொண்ட டோக்கன் JWE ஆகும், அதாவது குறியாக்கப்பட்ட டோக்கன்; கீ இல்லாமல் அதன் உள்ளடக்கத்தைப் படிக்க முடியாது, டிகோடர் அதைத் தெரிவிக்கும். Authorization header-இலிருந்து நகலெடுத்த தொடக்க "Bearer " தானாக நீக்கப்படும்.

header மற்றும் payload-ஐ கீ வைத்திருப்பவர் உருவாக்கினார் என்பதையும், அதன் பின் மாற்றப்படவில்லை என்பதையும் signature நிரூபிக்கிறது. அதைச் சரிபார்க்க அந்த கீ தேவை: HS256 போன்ற HMAC அல்காரிதங்களுக்குப் பகிரப்பட்ட ரகசியம், RS256, ES256 அல்லது EdDSA-க்கு வழங்குநரின் பொது கீ. உற்பத்தி கையொப்ப ரகசியத்தை எந்த இணையப் பக்கத்திலும் ஒட்டுவது நல்லதல்ல; கீ இல்லாமல் டோக்கனை உறுதிப்படுத்துவது போல நடிக்கும் டிகோடர் தவறான நம்பிக்கையைத் தரும். எனவே இந்தக் கருவி signature-ஐக் காட்டுகிறது, ஆனால் சரிபார்க்காது. நீங்கள் காண்பதை உண்மையாக அல்ல, டோக்கன் முன்வைக்கும் கூற்றாகக் கருதுங்கள்.

சரிபார்ப்பு உங்கள் சர்வரில் நடக்க வேண்டும்; எதிர்பார்க்கும் அல்காரிதத்தை நிலைநிறுத்திய, பராமரிக்கப்படும் நூலகத்தைப் பயன்படுத்துங்கள். இரு பழைய தவறுகள் இதை விளக்குகின்றன: alg "none" ஏற்பது, இது யாரும் கையொப்பமற்ற டோக்கனைப் போலியாக உருவாக்க விடும்; மற்றொன்று அல்காரிதம் குழப்பம், இதில் RS256 எதிர்பார்க்கும் சர்வர் பொது கீயை HMAC ரகசியமாகக் கொண்டு HS256 signature-ஐச் சரிபார்க்கும்படி ஏமாற்றப்படும். டிகோடர் பிழைத்திருத்தத்துக்கானது: வழங்குநர் எந்த claims வழங்குகிறார் என்று பார்ப்பது, தவறான audience-ஐக் கண்டறிவது, அல்லது ஒரு நிமிடம் முன்பு exp கடந்ததால் அமர்வு தோல்வியடைந்தது என்று அறிவது. Base64url பகுதிகளை அப்படியே படிக்க Base64 டிகோடர் பயன்படுத்துங்கள்.