Verifier JWT
Periksa apakah Web Token JSON asli dan masih berlaku. Tempelkan token bersama rahasia HMAC, kunci publik PEM, sertifikat, JWK, atau seluruh JWKS; verifier akan memeriksa tanda tangan dengan pustaka jose, membandingkan exp dan nbf dengan waktu saat ini serta toleransi jam opsional, lalu memberikan hasil yang jelas di samping header dan klaim yang telah didekode. Token dengan alg none ditolak.
Pertanyaan yang sering diajukan
Apa yang diperiksa verifier?
Verifier memeriksa tanda tangan menggunakan kunci yang Anda berikan, lalu membandingkan klaim exp dan nbf dengan waktu saat ini. Hasilnya valid hanya jika tanda tangan cocok dan kedua pemeriksaan waktu berhasil. Klaim seperti iss, aud, atau sub ditampilkan di payload, tetapi tidak dibandingkan dengan nilai yang diharapkan.
Kunci apa yang dapat saya tempelkan?
Untuk HS256, HS384, dan HS512, tempelkan rahasia bersama sebagai teks atau sebagai oct JWK. Untuk token RSA, EC, dan EdDSA, tempelkan kunci publik PEM (SPKI atau PKCS #1), sertifikat X.509, JWK publik atau privat, JWKS dengan hingga 50 kunci, atau kunci PEM privat, yang hanya bagian publiknya yang digunakan.
Bagaimana kunci yang tepat dipilih dari JWKS?
Jika header token memiliki kid, kunci dengan kid yang sama dalam kumpulan akan digunakan, dan kesalahan akan menyebutkan kid tersebut jika tidak ada yang cocok. Jika tidak ada kid, kumpulan harus berisi tepat satu kunci. Ini mencerminkan cara sebagian besar server memilih kunci dari dokumen jwks_uri.
Apa fungsi opsi algoritma?
Dengan Gunakan alg token, algoritma diambil dari header token, tetapi kuncinya tetap harus sesuai, sehingga kunci publik RSA tidak mungkin digunakan sebagai rahasia HMAC. Pilih algoritma tertentu untuk mewajibkan token menggunakannya juga; inilah cara server seharusnya menetapkan algoritma yang diharapkan. Token dengan alg lain akan ditolak dan kedua nama ditampilkan.
Mengapa token dengan alg none ditolak?
Token dengan alg none tidak membawa tanda tangan, sehingga tidak ada yang bisa diverifikasi dan siapa pun dapat menulisnya. Menerima token semacam itu merupakan kerentanan yang sudah lama dikenal di pustaka JWT. Verifikator melaporkannya sebagai kesalahan, bukan hasil yang valid.
Bagaimana cara kerja exp, nbf, dan toleransi waktu?
Token dianggap kedaluwarsa jika exp sama dengan atau lebih awal dari waktu saat ini, dan dianggap belum valid jika nbf lebih lambat dari waktu saat ini. Toleransi waktu, dari 0 hingga 3600 detik, memperluas kedua pemeriksaan untuk mengakomodasi perbedaan waktu antarserver. Klaim yang ada tetapi bukan angka akan membuat token tidak valid.
Apa arti tanda tangan yang tidak valid?
Token tidak ditandatangani dengan kunci yang Anda berikan, atau header maupun payload-nya diubah setelah ditandatangani. Pastikan Anda menempelkan kunci publik atau rahasia yang cocok, termasuk karakter yang persis sama, dan token disalin secara lengkap. Header dan payload yang didekode tetap ditampilkan agar dapat Anda bandingkan.
Algoritma apa saja yang didukung?
HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512, dan EdDSA dengan kunci Ed25519. Kunci RSA harus memiliki setidaknya 2048 bit. Token terenkripsi (JWE) tidak didekripsi.
Apakah token atau kunci disimpan?
Tidak. Token dan kunci hanya digunakan untuk verifikasi ini di memori, serta tidak pernah dicatat atau disimpan. Kunci publik aman untuk dibagikan, tetapi jaga rahasia HMAC dengan saksama dan ganti rahasia yang Anda curigai telah bocor.
Seberapa besar token dan kuncinya?
Token dapat berukuran hingga 65,536 karakter, dan kolom kunci hingga 262,144 karakter, yang cukup untuk dokumen JWKS berukuran besar. Token harus memiliki tiga bagian base64url yang dipisahkan titik, header JSON dengan anggota alg, dan objek JSON sebagai payload-nya.