JWT Çözücü

JWT, RFC 7519'da (Mayıs 2015) tanımlanmıştır ve bu belge İngilizcedeki "jot" sözcüğü gibi okunmasını önerir. Yaygın imzalı biçim, noktalarla birleştirilmiş üç Base64url dizesinden oluşur: header.payload.signature. Header (başlık), alg alanında HS256 veya RS256 gibi imza algoritmasını, çoğu zaman da kid alanında bir anahtar kimliğini belirtir. Payload (yük), talepleri (claim) taşır; bunlar sub (kullanıcı), iss (düzenleyen), aud (hedef kitle) ile exp, nbf ve iat gibi JSON alanlarıdır. exp, nbf ve iat, 1 Ocak 1970 UTC'den itibaren geçen saniye cinsinden zamanlardır. Çözücü bu üç değeri yerel saatinize ve ISO 8601 biçimine çevirir; ayrıca belirtecin süresinin dolup dolmadığını, henüz geçerli olmadığını veya geçerlilik aralığı içinde olduğunu gösterir.

Base64url bir kodlamadır, şifreleme değildir; bu yüzden belirtece sahip herkes yükünü tam olarak bu sayfadaki gibi okuyabilir. Taleplere asla parola, kart numarası veya başka gizli bilgi koymayın. Noktalarla ayrılmış beş bölümlü belirteç, şifrelenmiş bir belirteç olan JWE'dir; içeriği anahtar olmadan okunamaz ve çözücü bunu size bildirir. Authorization başlığından kopyalanan baştaki "Bearer " ifadesi otomatik olarak kaldırılır.

İmza, başlık ve yükün anahtarı elinde tutan biri tarafından üretildiğini ve sonradan değiştirilmediğini kanıtlar. Doğrulamak için o anahtar gerekir: HS256 gibi HMAC algoritmalarında paylaşılan gizli anahtar, RS256, ES256 veya EdDSA'da ise düzenleyenin açık anahtarı. Üretim ortamındaki imza anahtarını herhangi bir web sayfasına yapıştırmak kötü bir fikirdir; anahtarsız bir belirteci güvenilir gösteriyormuş gibi davranan bir çözücü de yanlış bir güven duygusu verir. Bu yüzden bu araç imzayı gösterir ama doğrulamaz. Gördüklerinizi gerçek değil, belirtecin ileri sürdüğü bir talep olarak değerlendirin.

Doğrulama sunucunuzda, beklenen algoritma sabitlenmiş ve bakımı yapılan bir kitaplıkla yapılmalıdır. İki eski hata nedeni açıklar: imzasız bir belirteci herkesin sahtelemesine izin veren alg "none" değerini kabul etmek ve RS256 bekleyen bir sunucunun, açık anahtarı HMAC gizli anahtarı sayarak HS256 imzasını doğrulamaya kandırıldığı algoritma karışıklığı. Çözücü hata ayıklama içindir: sağlayıcının hangi talepleri verdiğini görmek, yanlış aud değerini fark etmek veya bir oturumun exp süresi bir dakika önce dolduğu için başarısız olduğunu anlamak gibi. Base64url bölümlerini ham olarak okumak için Base64 çözücü aracını kullanın.