JWT-afkóðari

Hvernig á að afkóða JWT

1. Límdu tókann inn í reitinn JSON Web Token. Heilt Authorization: Bearer … gildi virkar líka: forskeytið Bearer og allar línuskiptingar eru fjarlægð.
2. Tókinn er afkóðaður um leið og þú slærð inn (eða smelltu á Afkóða). Haus og Gagnahluti birtast sem sniðið JSON, hvort með sínum Afrita hnapp.
3. Lestu töfluna Tímakröfur: exp, nbf og iat birtast með upprunalegu gildi, dagsetningu á tímabeltinu þínu, hlutfallslegum tíma („eftir 3 klukkustundir“, „fyrir 2 dögum“) og stöðu eins og Útrunninn eða Ekki gildur enn.
4. Skoðaðu viðvaranirnar fyrir ofan niðurstöðurnar, til dæmis þegar alg er none eða þegar dagsetning lítur út eins og millisekúndur.
5. Til að athuga undirskriftina skaltu fylla inn lykilinn undir Sannreyna undirskrift og smella á Sannreyna undirskrift.

Afkóðun er ekki sannreyning

JWT er þrír Base64url-hlutar aðgreindir með punktum: haus.gagnahluti.undirskrift. Haus og gagnahluti eru aðeins kóðaðir, ekki dulkóðaðir, þannig að hver sem hefur tókann getur lesið þá, og þetta verkfæri getur afkóðað hvaða tóka sem er án lykils. Það þýðir líka að afkóðaður gagnahluti sannar ekkert: einhver gæti hafa breytt honum. Aðeins gild undirskrift sýnir að tókinn var gefinn út af handhafa lykilsins og að honum hefur ekki verið breytt síðan. Þess vegna stendur „Afkóðað (undirskrift ekki sannreynd)“ þar til þú sannreynir hann.

Tóki með fimm hluta er JWE (dulkóðaður JWT); ekki er hægt að lesa innihald hans án dulkóðunarlykilsins og verkfærið lætur þig vita af því.

Undirskrift sannreynd

• HS256, HS384, HS512 (HMAC): sláðu inn sameiginlega Leyndarmálið. Notaðu Snið leyndarmáls til að tilgreina hvort það sé venjulegur texti (UTF-8) eða Base64/Base64url, því sumar þjónustur geyma leyndarmál í Base64. Þú getur líka límt inn JWK af gerðinni oct. Ef leyndarmálið er styttra en úttak tætifallsins (32 bæti fyrir HS256) bendir verkfærið á að það sé undir lágmarki RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 og EdDSA: límdu inn Opinber lykill (PEM eða JWK). Viðurkenndar PEM-blokkir eru PUBLIC KEY, RSA PUBLIC KEY og CERTIFICATE (lykillinn er lesinn úr X.509-vottorðinu). JWK eða heilt JWK-safn virkar líka: notaður er lykillinn sem kid í hausnum vísar á. Einkalyklum er hafnað; sá sem sannreynir þarf aldrei einkalykil. EdDSA styður Ed25519 í vöfrum þar sem Web Crypto útfærir það.

Sannreyningin notar Web Crypto API vafrans. Niðurstaðan „Ógild undirskrift“ þýðir að lykillinn er rangur eða að tókanum hefur verið breytt. Athugaðu að reikniritið er tekið úr haus tókans: raunverulegur netþjónn verður að festa væntanlegt reiknirit í stillingum sínum, annars getur árásaraðili valið það.

Öryggisatriði

• Tókar eru aðgangsupplýsingar. Hver sem hefur gildan aðgangstóka getur yfirleitt komið fram sem eigandi hans þar til hann rennur út. Þetta verkfæri afkóðar og sannreynir allt í vafranum þínum og sendir hvorki tókann né lykilinn neitt. Forðastu samt að líma framleiðslutóka í verkfæri sem þú getur ekki skoðað.
• alg: none þýðir að tókinn er óundirritaður. Hver sem er getur falsað slíkan og netþjónn verður að hafna honum. Verkfærið sýnir viðvörun og neitar að „sannreyna“ slíkan tóka.
• Tímaathuganir hér nota klukku tölvunnar þinnar án nokkurs svigrúms; netþjónar leyfa oft eina til tvær mínútur af klukkuskekkju.
• JWT-dagsetningar (NumericDate) eru sekúndur frá 1. janúar 1970 UTC. 13 stafa gildi er líklega í millisekúndum, sem er algeng villa.