JWT dekooder

JWT (JSON Web Token) on kompaktne, URL-kindel märgis, mida kasutatakse autentimiseks ja osapoolte vaheliseks teabevahetuseks. JWT dekodeerimine võimaldab teil vaadata päise (märgendi tüüp ja algoritm), kasuliku koormuse (nõuded ja kasutajaandmed) ja allkirja. Arendajad dekodeerivad JWT-d autentimisprobleemide kõrvaldamiseks, kasutajate õiguste kontrollimiseks või märgendi sisu mõistmiseks arenduse käigus.

Lihtsalt kleebige oma JWT-token sisestusväljale ja klõpsake nuppu "Decode JWT". Tööriist analüüsib märgendi kohe ja kuvab päise ja kasuliku koormuse loetavas JSON-vormingus. Näete kõiki nõudeid, aegumistähtaegu, väljastaja teavet ja kõiki tokenis salvestatud kohandatud andmeid.

Ei, see dekooder kuvab ainult JWT päise ja kasuliku sisu - see ei kontrolli allkirja. Allkirja kontrollimine nõuab salajase võtme või avaliku võtme olemasolu, mida ei tohiks kunagi jagada ega sisestada veebitööriistadesse. Turvalisuse tagamiseks kontrollige JWT-d alati serveripoolselt, kasutades nõuetekohaseid raamatukogusid oma salajaste võtmetega.

Dekodeeritud JWT näitab tavaliselt järgmist: märgendi tüüp ja allkirjaalgoritm päises; ning sellised väited nagu "iss" (väljastaja), "sub" (subjekt), "aud" (publik), "exp" (kehtivusaeg), "iat" (väljastatud kell) ja mis tahes kohandatud väited kasuliku koormuse sees. See teave aitab teil mõista, kes on tokeni välja andnud, millal see aegub ja milliseid õigusi või andmeid see sisaldab.

JWT-de dekodeerimine kliendipoolselt on üldiselt turvaline, kuna JWT-d on loodud nii, et igaüks saaks neid lugeda - need on base64-kodeeritud, mitte krüpteeritud. Siiski ärge kunagi dekodeerige väga tundlikke andmeid sisaldavaid JWTsid avalike veebipõhiste vahenditega. See tööriist töötleb tokeneid täielikult teie brauseris, ilma andmeid serveritesse saatmata, kuid vältige selle kasutamist tundlikku teavet sisaldavate tootmistokenide puhul.

JWT-d järgivad standardset struktuuri, mis koosneb kolmest punktidega eraldatud base64-kodeeritud osast: header.payload.signature. Pealkiri kirjeldab märgendi tüüpi ja algoritmi, kasulik koormus sisaldab nõudeid ja andmeid ning allkiri tagab, et märgendit ei ole võltsitud. Selline struktuur muudab JWT-d kompaktseks ja URL-kindlaks, säilitades samal ajal turvalisuse.

Dekodeeritud JWT-d sisaldavad exp (expiration) väidet, mis on Unixi ajatempel. Võrrelge seda ajatemplit praeguse ajaga - kui praegune aeg on suurem kui exp-väärtus, on märgis aegunud. Dekooder kuvab selle ajatempli loetavas formaadis, et aidata teil kontrollida tokeni kehtivust.

'iat' (issued at) näitab, millal token loodi, 'exp' (expiration time) näitab, millal see aegub, ja 'nbf' (not before) näitab, millal token muutub kehtivaks. Need ajatemplid aitavad kontrollida tokeni elutsüklit ja vältida tokeni korduvkasutamist eri ajavahemike vahel.

Jah! OAuth 2.0 juurdepääsutunnused ja OpenID Connecti ID-tunnused kasutavad sageli JWT-vormingut. Nende dekodeerimine paljastab ulatused, õigused, kasutajatunnused ja autentimisandmed. See on hindamatu väärtusega autentimisvoogude silumiseks, antud õiguste kontrollimiseks ja integratsiooniprobleemide kõrvaldamiseks.

JWT-l, mille algoritm on "none" (mida nimetatakse ka turvamata JWT-ks), ei ole allkirja kontrollimist. See on tootmises ohtlik ja viitab sageli turvaaukule. Seaduslikud JWT-d peaksid kasutama selliseid algoritme nagu RS256, HS256 või ES256. Kui näete "none", uurige seda kohe, sest see võib viidata turvaprobleemile.