Főbb pontok
- 01Dekódoljon bármilyen JWT-t és vizsgáljon meg fejlécet, hasznos adatot és szabványos jogcímeket egy ragasztásban.
- 02Az exp, nbf és iat jogcímek ember-olvasható időbélyegekre konvertálódnak érvényes/lejárt címkékkel.
- 03A dekódolás tisztán helyi – biztonságos valódi termelési tokenek ragasztásához a hibakeresés során.
- 04A dekódoló nem ellenőrzi az aláírásokat – ennek szerver oldalon kell megtörténnie a kibocsátó kulcsával.
Miért kell JWT dekódoló
A JSON Web Tokenek véletlen zajnak néznek, amíg nem tudja, hogy három Base64URL-kódolt szegmens pontosvesszővel elválasztva. Az első szegmens a fejléc (algoritmus és token típus), a második a hasznos adat (a jogcímek: felhasználó ID, szerepkörök, lejárat), a harmadik az aláírás. A hitelesítési probléma, a lejárt munkamenet vagy a megtört OAuth integráció hibakeresésekor az első dolog, amit tenni kell, az a hasznos adat olvasása.
Kézzel azt csinálja osztott pontosvesszővel, dekódolt Base64URL és majd Unix időbélyegeket átalakított ember-olvasható dátumokra. A Handytool JWT dekódoló mindazt automatikusan csinálja és érvényességi címkéket ad hozzá az időbélyeg jogcímekhez, hogy egy pillantásra láthassa, hogy egy token még aktív.
Hogyan dekódoljon egy JWT tokent
- 01
Másolja a JWT-t
Ragadja meg a tokent a böngésző DevTools-ból (Application > Cookies, vagy a Network panel Authorization fejléc), egy log fájlból vagy az API ügyfélből.
- 02
Illessze be a dekódolóba
Illessze be a teljes tokent – az összes három szegmenssel pontosvesszővel elválasztva – a beviteli mezőbe. A dekódoló azonosítja a szegmenseket automatikusan.
- 03
Olvassa el a fejléc és hasznos adatot
Az eszköz felosztja a tokent és szép formátumú JSON-t nyomtat a fejlécből (algoritmus, típus) és hasznos adatból (összes jogcím).
- 04
Ellenőrizze az időbélyeg jogcímeket
Az exp (lejárat), nbf (még nem) és iat (kiállítás) Unix időbélyegek ISO dátumokra konvertálódnak. A dekódoló az exp-t zöldre (érvényes) vagy pirosaira (lejárt) címkézi a jelenlegi helyi időhöz képest.
Szabványos JWT jogcímek magyarázata
Ezek a regisztrált jogcím nevek a legtöbb JWT-ben jelennek meg.
- 01iss (Kibocsátó) – azonosítja a tokent létrehozó fél, tipikusan URL vagy szolgáltatás neve.
- 02sub (Tárgy) – az a fő, amelyet a token jelöl, általában felhasználó ID.
- 03aud (Hallgatóság) – a token célja címzettje(i); szerver oldalon el kell utasítani mások számára szánt tokeneket.
- 04exp (Lejárat) – Unix időbélyeg, amely után a tokent elutasítani kell.
- 05nbf (Nem előtte) – Unix időbélyeg, amely előtt a tokent elutasítani kell.
- 06iat (Kiállítva) – Unix időbélyeg, amikor a tokent készítték; hasznos az avasztalt tokenek felderítéséhez.
Biztonságos valódi tokenek ragasztásához a hibakereség során
A JWT dekódolás teljesen a böngészőben történik a natív atob funkció és JSON.parse segítségével. Semmi nincs szerverre továbbítva – a token memóriában dekódolódik és helyileg jelenik meg. Biztonságosan ragaszthatja a valódi hozzáférési tokeneket és munkamenet tokeneket a fejlesztési vagy előkészítési környezetekből a hitelesítési folyamatok hibakereséséhez.
Azt, hogy az JWT-t jelszóként kezeljen. Hozzáférést adnak a rendszerekhez a teljes élettartama alatt. Ne ragasszon termelési tokeneket magas jogosultságú fiókokból semmilyen eszközbe, hacsak nem biztos az eszköz adatvédelmi garanciáiról – és mindig forgassa el a tokent, ha azt hiszi, hogy lehet, hogy ki lett téve.
JWT dekódoló – Gyakran Ismételt Kérdések
Mi az JWT?
A JSON Web Token egy kompakt, URL-biztonságos formátum, amely három Base64URL szegmensből (fejléc, hasznos adat, aláírás) áll pontosvesszővel elválasztva. A JWT-k jogcímeket hordoznak – a felhasználóra vagy munkamenetre vonatkozó kijelentéseket – és hitelesítéshez, engedélyezéshez és API hozzáféréshez használódnak.
Ez a dekódoló ellenőrzi a JWT aláírást?
Nem. A dekódoló csak az fejlécet és hasznos adatot elemzi. Az aláírás ellenőrzéséhez a kibocsátó titkos vagy nyilvános kulcsára van szükség, és egy megbízható könyvtárral az alkalmazás kódjában kell megtörténnie.
Biztonságos-e egy valódi hozzáférési tokent ragasztani ide?
A dekódolás teljesen helyi – a tokent soha nem továbbítják. Azonban a JWT-ek valódi hozzáférést adnak, így jelszóként kezelja őket. Ne osztja meg, ne commitálja a forráskezelésbe és forgassa el, ha lehet, hogy ki lett téve.
Mit jelent az exp jogcím?
Az exp a lejárati időbélyeg – egy Unix egész szám, amely azt jelzi, hogy a token mikor válik érvénytelen. A dekódoló ember-olvasható ISO dátumra konvertálja és a jelenlegi helyi időhöz képest érvényes vagy lejárt-ként jelöli.
Miért látható a JWT hasznos adat kulcs nélkül?
A JWT hasznos adatok Base64URL-kódolottok, nem titkosítottak. Nem olyan szerkezetben tervezetek, hogy olvasható – az aláírás csak az authenticitást bizonyítja, nem a bizalmas kezelést. Soha ne tegyen valóban titkos adatot a JWT hasznos adatba, ha nem JSON Web Encryption (JWE) -t használ.
A dekódoló ingyenes?
Igen. A Handytool ingyenes, nincs regisztráció, nincs aránylimit és nincs adatgyűjtés.