Декодер JWT

JWT визначено в RFC 7519 (травень 2015), де пропонується вимовляти його як англійське слово «jot». Поширена підписана форма — це три рядки Base64url, з’єднані крапками: header.payload.signature. Заголовок (header) містить у полі alg назву алгоритму підпису, наприклад HS256 або RS256, а часто й ідентифікатор ключа в kid. Корисне навантаження (payload) містить claims — JSON-поля, як-от sub (користувач), iss (емітент), aud (цільова аудиторія), а також exp, nbf та iat, які задають час у секундах від 1 січня 1970 року за UTC. Декодер перетворює ці три значення на ваш локальний час і формат ISO 8601 та повідомляє, чи токен закінчився, чи ще не набув чинності, чи перебуває в межах терміну дії.

Base64url — це кодування, а не шифрування, тож будь-хто, у кого є токен, може прочитати його payload так само, як це робить ця сторінка. Ніколи не додавайте до claims паролі, номери карток чи інші секрети. Токен із п’ятьма частинами, розділеними крапками, — це JWE, зашифрований токен: його вміст неможливо прочитати без ключа, і декодер повідомляє про це. Початковий префікс «Bearer », скопійований із заголовка Authorization, видаляється автоматично.

Підпис доводить, що заголовок і payload створила сторона, яка має ключ, і що відтоді їх не змінювали. Для перевірки потрібен цей ключ: спільний секрет для HMAC-алгоритмів, як-от HS256, або публічний ключ емітента для RS256, ES256 чи EdDSA. Вставляти робочий секрет підпису на будь-яку вебсторінку — погана ідея, а декодер, який удавав би, що ручається за токен без ключа, давав би хибне відчуття безпеки, тому цей інструмент показує підпис, але не перевіряє його. Сприймайте побачене як твердження самого токена, а не як факт.

Перевірка має відбуватися на вашому сервері за допомогою підтримуваної бібліотеки із жорстко заданим очікуваним алгоритмом. Це пояснюють дві історичні помилки: прийняття alg «none», що дає змогу будь-кому підробити непідписаний токен, і плутанина алгоритмів, коли сервер, який очікує RS256, змушують перевіряти підпис HS256, використовуючи публічний ключ як секрет HMAC. Декодер потрібен для налагодження: побачити, які claims видає провайдер, помітити неправильну аудиторію або з’ясувати, що сесія завершилася, бо exp минув хвилину тому. Щоб прочитати сирі сегменти Base64url, скористайтеся декодером Base64.