# JWT tikrintuvas

Patikrinkite, ar JSON žiniatinklio žetonas yra autentiškas ir vis dar galioja. Įklijuokite žetoną kartu su jo HMAC slaptuoju raktu, PEM viešuoju raktu, sertifikatu, JWK arba visu JWKS rinkiniu. Tikrintuvas patikrina parašą naudodamas jose biblioteką, palygina exp ir nbf su dabartiniu laiku, atsižvelgdamas į pasirinktinę laikrodžio paklaidą, ir greta iškoduotos antraštės bei teiginių pateikia aiškią išvadą. Žetonai su alg none atmetami.

## Dažnai užduodami klausimai

### Ką tikrina tikrintuvas?

Jis patikrina parašą pagal jūsų pateiktą raktą, tada palygina exp ir nbf teiginius su dabartiniu laiku. Išvada „galioja“ pateikiama tik tada, kai parašas sutampa ir nė viena laiko patikra nenustato klaidos. Tokie teiginiai kaip iss, aud ar sub rodomi naudingajame turinyje, tačiau nelyginami su numatytomis reikšmėmis.

### Kokius raktus galiu įklijuoti?

Naudodami HS256, HS384 ir HS512, įklijuokite bendrą slaptąjį raktą kaip tekstą arba oct JWK. RSA, EC ir EdDSA žetonams įklijuokite viešąjį PEM raktą (SPKI arba PKCS #1), X.509 sertifikatą, viešąjį arba privatųjį JWK, JWKS su iki 50 raktų arba privatųjį PEM raktą, iš kurio naudojama tik viešoji dalis.

### Kaip iš JWKS parenkamas tinkamas raktas?

Jei žetono antraštėje yra kid, naudojamas rinkinio raktas su tuo pačiu kid; jei atitikmens nėra, klaidos pranešime nurodomas kid. Jei kid nėra, rinkinyje turi būti tiksliai vienas raktas. Taip raktus iš jwks_uri dokumento parenka dauguma serverių.

### Ką daro algoritmo parinktis?

Pasirinkus „Use the token's alg“, algoritmas parenkamas pagal žetono antraštę, tačiau raktas vis tiek turi jam tikti, todėl viešojo RSA rakto niekada negalima naudoti kaip HMAC slaptojo rakto. Pasirinkite konkretų algoritmą, kad taip pat būtų reikalaujama, jog žetonas jį naudotų; taip serveris turėtų fiksuoti numatytą algoritmą. Žetonas su kitu alg bus atmestas, nurodant abu pavadinimus.

### Kodėl atmetamas žetonas su alg none?

Žetonas su alg none neturi parašo, todėl nėra ko tikrinti, o jį galėjo sukurti bet kas. Tokių žetonų priėmimas yra gerai žinoma JWT bibliotekų spraga. Tikrintuvas apie tai praneša kaip apie klaidą, o ne kaip apie galiojantį rezultatą.

### Kaip veikia exp, nbf ir laikrodžio paklaidos tolerancija?

Žetonas laikomas pasibaigusio galiojimo, kai exp yra lygus dabartiniam laikui arba ankstesnis už jį, o negaliojančiu iki nurodyto laiko – kai nbf yra vėlesnis už dabartinį laiką. Laikrodžio paklaidos tolerancija nuo 0 iki 3600 sekundžių išplečia abi patikras, kad būtų atsižvelgta į serverių laikrodžių skirtumus. Jei esantys teiginiai nėra skaitiniai, žetonas laikomas negaliojančiu.

### Ką reiškia netinkamas parašas?

Žetonas pasirašytas ne jūsų nurodytu raktu arba jo antraštė ar turinys buvo pakeisti po pasirašymo. Patikrinkite, ar įklijavote atitinkamą viešąjį raktą arba slaptąjį raktą su visais tiksliais simboliais ir ar nukopijavote visą žetoną. Iškoduota antraštė ir turinys vis tiek rodomi, kad galėtumėte juos palyginti.

### Kurie algoritmai palaikomi?

HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512 ir EdDSA su Ed25519 raktais. RSA raktai turi būti bent 2048 bitų. Šifruoti žetonai (JWE) neiššifruojami.

### Ar žetonas arba raktas išsaugomas?

Ne. Žetonas ir raktas naudojami tik šiai patikrai atmintyje, jie niekada neregistruojami žurnale ir neišsaugomi. Viešuoju raktu dalytis saugu, tačiau HMAC slaptuosius raktus saugokite atsargiai ir pakeiskite kiekvieną, kuris, jūsų manymu, galėjo būti atskleistas.

### Kokio dydžio gali būti žetonas ir raktas?

Žetonas gali būti iki 65,536 simbolių, o rakto laukas – iki 262,144 simbolių; to pakanka dideliems JWKS dokumentams. Žetoną turi sudaryti trys taškais atskirtos base64url dalys: JSON antraštė su alg nariu ir JSON objektas kaip turinys.

Jūsų reklama čia?

[Parašykite mums el. paštu](mailto:hi@dennn.is?subject=Reklama%20svetain%C4%97je%20OneClick%20Pro)

[Reklama Įskiepių rinkinys, paruoštas agentams, skirtas WordPress.](https://sleekwp.com/?ref=oneclickpro)