Sådan læser du en JWT sikkert

Hvordan det virker

Opdel tokenet på prikker. De første to segmenter er Base64URL-kodet JSON; den tredje er binære signaturdata. Dette værktøj afkoder headeren og nyttelasten, udskriver JSON'en smukt og konverterer iat og exp fra Unix-sekunder til læsbare datoer. Det bekræfter aldrig signaturen.

• Signaturen er ikke kontrolleret: dette er en dekoder, ikke en validator. Indsæt aldrig produktionshemmeligheder i noget onlineværktøj, inklusive dette.

Hvorfor det betyder noget

De fleste JWT-fejl er ikke kryptografiske. De er udløbne tokens med forvirrende tidslinjer, påstande læst i den forkerte enhed eller nyttelaster, der er tillid til af en klient, der aldrig har tjekket signaturen. At læse tokenet korrekt besvarer de fleste af disse spørgsmål med det samme.

Et bearbejdet eksempel

Nyttelasten for et typisk adgangstoken indeholder sub, iat og exp. Afkodning viser påstandene som JSON og konverterer exp fra sekunder til en læsbar dato, hvilket umiddelbart forklarer en "udløbet" fejl.

Almindelige fejl

• Læser påstande og springer signaturbekræftelse helt over.
• Indsæt produktionstokens i ethvert onlineværktøj.
• Forvirrende millisekunders tidsstempler med JWT anden-baseret exp.

Praktiske tips

Debug med tokens udstedt af en udviklingslejer, aldrig produktion. Husk, at tilbagekaldelse af en JWT normalt kræver tilstand på serversiden; korte udløb plus opdateringstokens er det praktiske alternativ til sortlister.

Hvordan man bruger det

1. Åbn værktøjet. Alt kører i din browserfane.
2. Indsæt eller skriv dit input, og vælg derefter den handling, du har brug for.
3. Tjek resultatet og kopier det med et enkelt klik.

Åbn værktøjet

Almindelige spørgsmål