JWT ڈیکوڈر

JWT کی تعریف RFC 7519 (مئی 2015) میں کی گئی ہے، جس کے مطابق اسے انگریزی لفظ "jot" کی طرح پڑھا جاتا ہے۔ عام دستخط شدہ شکل تین Base64url سٹرنگز پر مشتمل ہوتی ہے جو نقطوں سے جڑی ہوتی ہیں: header.payload.signature۔ ہیڈر میں alg کے ذریعے دستخطی الگورتھم کا نام ہوتا ہے، جیسے HS256 یا RS256، اور اکثر kid میں کی آئی ڈی بھی ہوتی ہے۔ پے لوڈ میں کلیمز ہوتے ہیں، یعنی JSON فیلڈز جیسے sub (صارف)، iss (جاری کرنے والا)، aud (مطلوبہ مخاطب) اور exp، nbf اور iat، جو 1 جنوری 1970 UTC سے سیکنڈوں میں وقت ظاہر کرتے ہیں۔ ڈیکوڈر ان تینوں کو آپ کے مقامی وقت اور ISO 8601 میں بدلتا ہے، اور بتاتا ہے کہ ٹوکن کی میعاد ختم ہو چکی ہے، ابھی درست نہیں ہوا، یا اپنی مدت کے اندر ہے۔

Base64url ایک انکوڈنگ ہے، انکرپشن نہیں، اس لیے ٹوکن رکھنے والا کوئی بھی شخص اس کا پے لوڈ بالکل اسی طرح پڑھ سکتا ہے جیسے یہ صفحہ پڑھتا ہے۔ کلیمز میں کبھی پاس ورڈ، کارڈ نمبر یا دیگر خفیہ معلومات نہ رکھیں۔ پانچ نقطوں سے الگ حصوں والا ٹوکن JWE ہوتا ہے، یعنی انکرپٹڈ ٹوکن؛ اس کا مواد کلید کے بغیر نہیں پڑھا جا سکتا، اور ڈیکوڈر یہی بتاتا ہے۔ Authorization ہیڈر سے کاپی کیا گیا ابتدائی "Bearer " خود بخود ہٹا دیا جاتا ہے۔

دستخط یہ ثابت کرتا ہے کہ ہیڈر اور پے لوڈ کسی ایسے شخص نے بنائے جس کے پاس کلید تھی اور بعد میں ان میں تبدیلی نہیں ہوئی۔ اسے جانچنے کے لیے وہ کلید درکار ہے: HS256 جیسے HMAC الگورتھم کے لیے مشترکہ خفیہ کلید، یا RS256، ES256 یا EdDSA کے لیے جاری کنندہ کی پبلک کلید۔ پروڈکشن کی دستخطی خفیہ کلید کسی بھی ویب صفحے پر چسپاں کرنا اچھا خیال نہیں، اور کلید کے بغیر ٹوکن کی ضمانت کا دعویٰ کرنے والا ڈیکوڈر جھوٹا اطمینان دے گا، اس لیے یہ ٹول دستخط دکھاتا ہے مگر اس کی تصدیق نہیں کرتا۔ جو کچھ نظر آئے اسے ٹوکن کا دعویٰ سمجھیں، حقیقت نہیں۔

تصدیق آپ کے سرور پر ہونی چاہیے، ایسی لائبریری کے ساتھ جس کی دیکھ بھال ہو رہی ہو اور متوقع الگورتھم پہلے سے طے ہو۔ دو پرانی غلطیاں اس کی وجہ بتاتی ہیں: alg "none" قبول کرنا، جس سے کوئی بھی بغیر دستخط کا جعلی ٹوکن بنا سکتا ہے، اور الگورتھم کنفیوژن، جس میں RS256 کی توقع رکھنے والے سرور کو دھوکا دے کر HS256 دستخط کی جانچ پبلک کلید کو HMAC سیکرٹ بنا کر کروائی جاتی ہے۔ ڈیکوڈر ڈیبگنگ کے لیے ہے: یہ دیکھنے کے لیے کہ فراہم کنندہ کون سے کلیمز جاری کرتا ہے، غلط aud پکڑنے کے لیے، یا یہ معلوم کرنے کے لیے کہ سیشن اس لیے ناکام ہوا کہ exp ایک منٹ پہلے گزر گیا۔ Base64url حصوں کو خام صورت میں پڑھنے کے لیے Base64 ڈیکوڈر استعمال کریں۔