JWT verificētājs

Tas pārbauda parakstu, izmantojot jūsu norādīto atslēgu, un pēc tam salīdzina exp un nbf apgalvojumus ar pašreizējo laiku. Rezultāts ir derīgs tikai tad, ja paraksts atbilst un neviena laika pārbaude neuzrāda kļūdu. Apgalvojumi, piemēram, iss, aud vai sub, tiek parādīti saturā, bet netiek salīdzināti ar paredzētajām vērtībām.

HS256, HS384 un HS512 gadījumā ielīmējiet koplietojamo noslēpumu kā tekstu vai oct JWK formātā. RSA, EC un EdDSA tokeniem ielīmējiet PEM publisko atslēgu (SPKI vai PKCS #1), X.509 sertifikātu, publisku vai privātu JWK, JWKS ar ne vairāk kā 50 atslēgām vai PEM privāto atslēgu, no kuras tiek izmantota tikai publiskā daļa.

Ja tokena galvenē ir kid, tiek izmantota kopa atslēga ar tādu pašu kid; ja atbilstoša atslēga nav atrasta, kļūdas paziņojumā tiek norādīts kid. Ja kid nav norādīts, kopā jābūt tieši vienai atslēgai. Tas atbilst tam, kā vairums serveru izvēlas atslēgas no jwks_uri dokumenta.

Izvēloties Use the token's alg, algoritms tiek noteikts pēc tokena galvenes, taču atslēgai joprojām jābūt tam piemērotai, tāpēc RSA publisko atslēgu nekad nevar izmantot kā HMAC noslēpumu. Izvēlieties konkrētu algoritmu, lai arī pieprasītu, ka tokens to izmanto — šādi serverim jānorāda gaidītais algoritms. Tokens ar citu alg tiks noraidīts, parādot abus nosaukumus.

Tokenam ar alg none nav paraksta, tāpēc nav nekā, ko pārbaudīt, un to varēja izveidot jebkurš. Šādu tokenu pieņemšana ir plaši zināma ievainojamība JWT bibliotēkās. Verifikators parāda kļūdu, nevis derīgu rezultātu.

Tokens tiek uzskatīts par beigušos, ja exp ir vienāds ar pašreizējo laiku vai agrāks par to, un par vēl nederīgu, ja nbf ir vēlāk par pašreizējo laiku. Pulksteņa pielaide no 0 līdz 3600 sekundēm paplašina abas pārbaudes, lai ņemtu vērā laika novirzes starp serveriem. Ja norādītie apgalvojumi nav skaitļi, tokens ir nederīgs.

Tokens nav parakstīts ar jūsu norādīto atslēgu, vai arī tā galvene vai saturs ir mainīts pēc parakstīšanas. Pārbaudiet, vai ielīmējāt atbilstošo publisko atslēgu vai noslēpumu, ieskaitot visas rakstzīmes, un vai nokopējāt visu tokenu. Atšifrētā galvene un saturs joprojām tiek parādīti, lai varētu tos salīdzināt.

HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512 un EdDSA ar Ed25519 atslēgām. RSA atslēgām jābūt vismaz 2048 bitu garām. Šifrēti tokeni (JWE) netiek atšifrēti.

Nē. Tokens un atslēga tiek izmantoti tikai šai pārbaudei atmiņā, un tie nekad netiek reģistrēti vai saglabāti. Publisku atslēgu var droši kopīgot, taču rīkojieties uzmanīgi ar HMAC noslēpumiem un nomainiet jebkuru noslēpumu, kas, jūsuprāt, ir noplūdis.

Tokena garums var būt līdz 65,536 rakstzīmēm, bet atslēgas lauka — līdz 262,144 rakstzīmēm, kas ļauj ievadīt lielus JWKS dokumentus. Tokenam jābūt trim base64url daļām, kas atdalītas ar punktiem, JSON galvenei ar alg locekli un JSON objektam saturam.