JWT Generator at Verifier

Paano gumawa ng naka-sign na JWT

1. Piliin ang Algorithm: HS256/384/512 (shared secret), RS256/384/512 o PS256/384/512 (RSA), ES256/384/512 (ECDSA sa P-256, P-384 o P-521), o EdDSA (Ed25519, kung sinusuportahan ng browser mo).
2. I-edit ang Header (JSON) at ang Payload (mga JSON claim). Laging sumusunod sa napiling algorithm ang field na alg, at JWT ang default ng typ.
3. Gamitin ang mga button ng time claim para magdagdag ng petsa: iat = ngayon, nbf = ngayon, o pumili ng tagal gaya ng “sa loob ng 1 oras” at i-click ang I-set ang exp. Mga NumericDate ang mga halaga: segundo mula Enero 1, 1970 UTC.
4. Ilagay ang Secret (mga HS algorithm, bilang text o Base64/Base64url sa Format ng secret) o ang Private key (PEM o JWK). Wala ka pang key? I-click ang Gumawa ng test key.
5. I-click ang I-sign ang token, pagkatapos ay Kopyahin ang resulta o i-click ang I-verify ang token na ito para masuri agad.

Paano mag-verify ng JWT

1. I-paste ang token sa Token na ive-verify.
2. Piliin ang Inaasahang algorithm. Kapag iniwan ito sa “Mula sa header ng token (hindi kailanman none)”, tatanggapin ang anumang nakasulat sa header maliban sa none; kapag pumili ka ng partikular na algorithm, tatanggihan ng tool ang anumang token na iba ang pagkaka-sign, gaya ng ginagawa ng totoong server.
3. Ilagay ang secret, o ang Public key (PEM o JWK): isang PUBLIC KEY, RSA PUBLIC KEY o CERTIFICATE na PEM block, isang JWK, o isang JWK Set (ginagamit ang key na tugma ang kid sa header).
4. Kung gusto, mag-set ng Palugit sa orasan (segundo) para tanggapin ang maliliit na pagkakaiba ng orasan, pagkatapos ay i-click ang I-verify ang token.

Sasabihin ng resulta kung valid ang signature, at susuriin pagkatapos ang exp (expiration) at nbf (not before) batay sa kasalukuyang oras ng iyong computer. Ang token na tama ang signature pero nasa nakaraan ang expiry ay iuulat na expired, hindi valid.

Mga key at format

Sa pag-sign, tumatanggap ang tool ng mga PKCS#8 na PRIVATE KEY block, PKCS#1 na RSA PRIVATE KEY at SEC1 na EC PRIVATE KEY block (kino-convert sa PKCS#8 sa loob), at mga private JWK. Kailangan munang i-export nang walang password ang mga key na may password. Ang Gumawa ng test key ay gumagawa ng random na secret na kasinlaki ng hash para sa mga HS algorithm, 2048-bit na RSA key pair para sa RS at PS, ang katugmang curve para sa ES, o isang Ed25519 pair. Makukuha mo ang mga key bilang PEM at JWK, at inilalagay ang mga ito sa magkabilang panig kaya gumagana agad ang round trip.

Sumusunod ang mga signature sa RFC 7515 at RFC 7518: gumagamit ang RSA-PSS ng salt na kasinghaba ng hash, at ang mga ECDSA signature ay ang raw na pagdudugtong na r||s. Ginagaya ng implementasyon ang halimbawa ng HS256 sa RFC 7515, Appendix A.1.

Mga paalala sa seguridad

• Tumatakbo ang lahat sa iyong browser gamit ang Web Crypto API. Hindi ipinapadala kahit saan ang mga token at key, pero mas mainam pa ring gumamit ng test key kaysa sa production secret.
• Hindi kailanman sina-sign o tinatanggap ang alg: none.
• Dapat kahit kasinghaba ng hash ang mga HMAC secret (32 byte para sa HS256). Magbibigay ng babala ang mas maikling secret.
• Pinatutunayan ng signature ang integridad at pinagmulan, hindi na angkop ang mga claim: dapat ding suriin ng mga server ang iss, aud at ang mga scope.