JWT డీకోడర్
JSON Web Token పేస్ట్ చేయండి, దాని హెడర్, పేలోడ్‌లను ఫార్మాట్ చేసిన JSONగా చదవండి. ఎక్స్‌పైరీ, జారీ సమయాలు తేదీలుగా కనిపిస్తాయి, టోకెన్ ప్రస్తుతం చెల్లుబాటులో ఉందో లేదో కూడా చూపిస్తుంది. డీకోడింగ్ పూర్తిగా మీ బ్రౌజర్‌లోనే జరుగుతుంది. టోకెన్ వాడుకలో ఉన్న లాగిన్ క్రెడెన్షియల్ అయినప్పుడు ఇది ముఖ్యం.
0 అక్షరాలు · 0 పదాలు · 0 లైన్లు
0 అక్షరాలు · 0 పదాలు · 0 లైన్లు
పూర్తిగా ఈ బ్రౌజర్ ట్యాబ్‌లోనే నడుస్తుంది. మీ టెక్స్ట్ అప్‌లోడ్ లేదా నిల్వ చేయబడదు.
రిజిస్టర్డ్ క్లెయిమ్‌లు
RFC 7519 §4.1లో నిర్వచించిన ఏడు క్లెయిమ్ పేర్లు. అన్నీ ఐచ్ఛికం; సమయాలు 1970-01-01 UTC నుండి సెకన్లలో ఉంటాయి.
| క్లెయిమ్ | అర్థం |
|---|---|
iss | జారీదారు: టోకెన్ను సృష్టించి సంతకం చేసినవారు |
sub | సబ్జెక్ట్: టోకెన్ ఎవరి గురించో ఆ యూజర్ లేదా ఎంటిటీ |
aud | ఆడియన్స్: టోకెన్ ఎవరి కోసమో |
exp | గడువు సమయం: ఈ క్షణం తర్వాత టోకెన్ను తిరస్కరించాలి |
nbf | ముందు కాదు: ఈ క్షణానికి ముందు టోకెన్ను తిరస్కరించాలి |
iat | జారీ సమయం: టోకెన్ సృష్టించిన సమయం |
jti | JWT ID: రీప్లేను నిరోధించడానికి వాడే విశిష్ట గుర్తింపు |
సాధారణ alg విలువలు
| alg విలువ | అర్థం |
|---|---|
HS256 | SHA-256తో HMAC; ఒకే షేర్డ్ సీక్రెట్ సంతకం చేస్తుంది, ధృవీకరిస్తుంది |
RS256 | SHA-256తో RSA PKCS#1 v1.5 సిగ్నేచర్; ప్రైవేట్ కీ సంతకం చేస్తుంది, పబ్లిక్ కీ ధృవీకరిస్తుంది |
PS256 | SHA-256తో RSA-PSS |
ES256 | SHA-256తో P-256 కర్వ్‌పై ECDSA; చిన్న సిగ్నేచర్లు |
EdDSA | Ed25519 లేదా Ed448 సిగ్నేచర్లు |
none | సంతకం లేని టోకెన్; సర్వర్లు దీన్ని తిరస్కరించాలి |
JSON Web Token లోపల ఏముంటుంది
JWT ను RFC 7519 (మే 2015) నిర్వచిస్తుంది; ఇంగ్లీష్ పదం "jot" లా పలకాలని అది సూచిస్తుంది. సాధారణంగా వాడే సంతకం చేసిన రూపం చుక్కలతో కలిపిన మూడు Base64url స్ట్రింగ్‌లు: header.payload.signature. హెడర్ alg లో HS256 లేదా RS256 వంటి సంతకం అల్గారిథమ్‌ను, తరచుగా kid లో కీ IDని సూచిస్తుంది. పేలోడ్‌లో క్లెయిమ్‌లు ఉంటాయి; అవి sub (వినియోగదారు), iss (జారీ చేసినవారు), aud (ఉద్దేశించిన ప్రేక్షకులు), అలాగే exp, nbf, iat వంటి JSON ఫీల్డ్‌లు. చివరి మూడు 1 జనవరి 1970 UTC నుండి సెకన్లలో లెక్కించిన సమయాలు. డీకోడర్ ఈ మూడింటినీ మీ స్థానిక సమయానికి, ISO 8601 కు మారుస్తుంది, టోకెన్ గడువు ముగిసిందా, ఇంకా చెల్లుబాటు కాలేదా, లేక చెల్లుబాటు పరిధిలో ఉందా అని చెబుతుంది.
Base64url అనేది ఎన్‌కోడింగ్ మాత్రమే, ఎన్‌క్రిప్షన్ కాదు. కాబట్టి టోకెన్ ఉన్న ఎవరైనా ఈ పేజీ లాగే దాని పేలోడ్ను చదవగలరు. క్లెయిమ్‌లలో పాస్‌వర్డ్‌లు, కార్డ్ నంబర్లు లేదా ఇతర రహస్యాలను ఎప్పుడూ ఉంచకండి. చుక్కలతో వేరైన ఐదు భాగాలున్న టోకెన్ JWE, అంటే ఎన్క్రిప్ట్ చేసిన టోకెన్; కీ లేకుండా దాని విషయాన్ని చదవలేరు, డీకోడర్ ఇదే చెబుతుంది. Authorization హెడర్ నుండి కాపీ చేసిన ప్రారంభ "Bearer " ఆటోమేటిక్‌గా తొలగించబడుతుంది.
ఇక్కడ సిగ్నేచర్ ఎందుకు వెరిఫై చేయబడదు
హెడర్, పేలోడ్‌లను కీ ఉన్నవారే రూపొందించారని, తర్వాత మార్చబడలేదని సంతకం నిరూపిస్తుంది. దాన్ని తనిఖీ చేయడానికి ఆ కీ అవసరం: HS256 వంటి HMAC అల్గారిథమ్‌లకు షేర్డ్ సీక్రెట్, RS256, ES256 లేదా EdDSA కు జారీ చేసినవారి పబ్లిక్ కీ. ప్రొడక్షన్ సంతకం సీక్రెట్‌ను ఏ వెబ్ పేజీలోనైనా పేస్ట్ చేయడం మంచిది కాదు, కీ లేకుండా టోకెన్‌కు హామీ ఇస్తున్నట్లు నటించే డీకోడర్ తప్పుడు భరోసా ఇస్తుంది. అందుకే ఈ టూల్ సంతకాన్ని చూపుతుంది కానీ ధృవీకరించదు. మీరు చూసేది టోకెన్ చేస్తున్న క్లెయిమ్‌గా భావించండి, వాస్తవంగా కాదు.
ధృవీకరణ మీ సర్వర్‌లో జరగాలి; ఆశించిన అల్గారిథమ్‌ను స్థిరపరచిన, నిర్వహణలో ఉన్న లైబ్రరీని వాడండి. రెండు పాత తప్పులు ఇందుకు కారణం: alg "none" ను అంగీకరించడం (దీనివల్ల ఎవరైనా సంతకం లేని టోకెన్ను నకిలీ చేయవచ్చు), అల్గారిథమ్ గందరగోళం (RS256 ఆశించే సర్వర్‌ను మోసగించి, పబ్లిక్ కీని HMAC సీక్రెట్‌గా వాడి HS256 సంతకాన్ని తనిఖీ చేయించడం). డీకోడర్ డీబగ్గింగ్ కోసం: ప్రొవైడర్ ఏ క్లెయిమ్‌లు జారీ చేస్తుందో చూడటానికి, తప్పు audience ను గుర్తించడానికి, లేదా exp ఒక నిమిషం క్రితమే ముగియడంతో సెషన్ విఫలమైందని తెలుసుకోవడానికి. Base64url భాగాలను నేరుగా చదవాలంటే Base64 డీకోడర్ వాడండి.
తరచుగా అడిగే ప్రశ్నలు
- నిజమైన యాక్సెస్ టోకెన్ను JWT డీకోడర్లో పేస్ట్ చేయడం సురక్షితమేనా?
- ఈ పేజీలో టోకెన్ మీ బ్రౌజర్ను విడిచి వెళ్లదు. అయినా చెల్లుబాటు అయ్యే టోకెన్ గడువు ముగిసే వరకు పాస్వర్డ్లా పనిచేస్తుంది, కాబట్టి గడువు ముగిసిన లేదా టెస్ట్ టోకెన్లను వాడండి, లైవ్ టోకెన్లను స్క్రీన్షాట్లు, చాట్లలో ఉంచకండి.
- ఇప్పుడే జారీ అయిన నా టోకెన్ ఎక్స్పైర్ అయినట్లు ఎందుకు చూపిస్తోంది?
- ముందు మీ పరికరం గడియారాన్ని చూడండి. కొందరు జారీదారులు యాక్సెస్ టోకెన్లకు కొన్ని నిమిషాల జీవితకాలమే ఇస్తారు, లాగ్ నుండి కాపీ చేసిన టోకెన్ కనిపించేదానికంటే పాతది కావచ్చు. exp సెకన్లకు బదులు మిల్లీసెకన్లలో రాస్తే వ్యతిరేకంగా జరిగి, వేల సంవత్సరాల ముందుకు వెళ్తుంది.
- నా JWT పేలోడ్ను ఎవరైనా మార్చగలరా?
- వారు దాన్ని ఎడిట్ చేసి మళ్లీ ఎన్కోడ్ చేయగలరు, కానీ సంతకం ఇక సరిపోలదు. సరైన కీ, అల్గారిథమ్తో సంతకాలను ధృవీకరించే సర్వర్ మార్చిన టోకెన్ను తిరస్కరిస్తుంది.
- JWS, JWE మధ్య తేడా ఏమిటి?
- JWS (RFC 7515) సంతకం చేయబడింది, మూడు భాగాలు ఉంటాయి, ఎవరైనా చదవగలరు. JWE (RFC 7516) ఎన్క్రిప్ట్ చేయబడింది, ఐదు భాగాలు ఉంటాయి, కీ ఉన్నవారు మాత్రమే పేలోడ్ను చదవగలరు.
- లాగ్ అవుట్ చేస్తే JWT చెల్లకుండా పోతుందా?
- దానంతట అదే కాదు. సర్వర్ డెనైలిస్ట్ ఉంచకపోతే లేదా సెషన్ రికార్డ్ను తనిఖీ చేయకపోతే సంతకం చేసిన JWT exp వరకు చెల్లుబాటులో ఉంటుంది; అందుకే యాక్సెస్ టోకెన్లకు సాధారణంగా తక్కువ జీవితకాలం ఇస్తారు.