Dekoder JWT: do czego służy
JSON Web Token to trzy segmenty Base64url oddzielone kropkami: nagłówek z algorytmem, dane (payload) z twierdzeniami i podpis. Debugowanie problemów z uwierzytelnianiem zwykle sprowadza się do odczytania danych, a to narzędzie dekoduje je w całości w twojej przeglądarce, pokazując daty wygaśnięcia i wystawienia w czytelnym formacie.
Dekoder JWT: jak korzystać
- Wklej token JWT w polu wejściowym.
- Odczytaj zdekodowany nagłówek i dane obok siebie.
- Sprawdź pola exp i iat, pokazywane jako czytelne daty.
- Zwróć uwagę na algorytm w nagłówku: to narzędzie nie weryfikuje podpisów.
Najczęściej zadawane pytania
Czy narzędzie weryfikuje podpis tokenu?
Nie. Weryfikacja wymaga sekretu albo klucza publicznego, których nigdy nie powinno się wklejać na stronie internetowej. Dekodowanie pokazuje, co token twierdzi; tylko twój serwer powinien decydować, czy mu ufać.
Czy bezpiecznie jest wkleić tu token?
Dekodowanie odbywa się w całości w twojej przeglądarce, bez żadnych żądań sieciowych. Mimo to ważny token dostępowy to poświadczenie: dobrą praktyką jest testowanie na wygasłym albo testowym tokenie.
Co oznaczają standardowe pola?
iss to wystawca, sub podmiot lub identyfikator użytkownika, aud przewidziana grupa odbiorców, exp data wygaśnięcia, iat data wystawienia, a nbf moment, przed którym token nie jest ważny. Wszystkie daty są w sekundach Unix.
Czym jest luka „alg: none”?
Historyczna wada polegająca na tym, że serwer akceptował tokeny deklarujące brak algorytmu, co pozwalało je sfałszować. Zawsze ustaw oczekiwany algorytm po stronie serwera zamiast ufać nagłówkowi.