ຂ້ອຍຈະຖອດລະຫັດ JWT ໂດຍບໍ່ໃຊ້ library ໄດ້ແນວໃດ?

ວາງ token ລົງໃນ JWT Token. ມັນຕ້ອງມີສາມສ່ວນທີ່ຂັ້ນດ້ວຍຈຸດ, ຈາກນັ້ນພາກສ່ວນ ສ່ວນຫົວ, ເນື້ອໃນ ແລະ ລາຍເຊັນ ຈະປາກົດຂຶ້ນ. ໂຫລດຕົວຢ່າງ ຈະຕື່ມ token ຕົວຢ່າງໃຫ້.

ການຖອດລະຫັດ JWT ໝາຍຄວາມວ່າມັນຖືກຕ້ອງ ແລະ ໃຊ້ງານໄດ້ແທ້ສະເໝີໄປບໍ່?

ບໍ່. ການຖອດລະຫັດເປັນພຽງການອ່ານ claims ເທົ່ານັ້ນ, ແລະ ໃຜກໍສາມາດສ້າງ token ທີ່ມີ claims ໃດກໍໄດ້ຂຶ້ນມາ. ເຄື່ອງມືນີ້ຈະແຈ້ງເຕືອນວ່າ claims ຍັງຄົງບໍ່ສາມາດເຊື່ອຖືໄດ້ ຈົນກວ່າຈະມີການຢືນຢັນລາຍເຊັນ, ຜູ້ອອກ, ຜູ້ຮັບ ແລະ ອັລກໍຣິທຶມ.

ຂ້ອຍສາມາດກວດສອບໄດ້ແນວໃດວ່າ token ຂອງຂ້ອຍໝົດອາຍຸແລ້ວຫຼືຍັງ?

claims ເຊັ່ນ exp, nbf ແລະ iat ຂອງ payload ຈະສະແດງພ້ອມສະຖານະ ເຊັ່ນ Expired ຫຼື Not expired, ແລະ ມັນຈະອັບເດດໃໝ່ເລື້ອຍໆຕາບໃດທີ່ແຖບຍັງເປີດຢູ່. ຊ່ອງ ການແກ່ຖະຫນົນໂມງ (ວິນາທີ) ສາມາດໃຊ້ປັບການກວດສອບໄດ້.

ຂ້ອຍສາມາດຢືນຢັນລາຍເຊັນຢູ່ບ່ອນນີ້ໄດ້ບໍ່?

ໄດ້. ວາງ HMAC secret, PEM public key ຫຼື JWK / JWKS JSON ລົງໃຕ້ Verify signature, ຈາກນັ້ນກົດ ຢືນຢັງ. ຮອງຮັບອັລກໍຣິທຶມ HS, RS ແລະ ES ຂະໜາດ 256, 384 ຫຼື 512 ບິດ.

ເປັນຫຍັງມັນຈຶ່ງແຈ້ງເຕືອນວ່າ token ບໍ່ຖືກຕ້ອງ?

JWT ຕ້ອງມີສາມສ່ວນທີ່ຂັ້ນດ້ວຍຈຸດຢ່າງຊັດເຈນ, ແລະ ສ່ວນ header ກັບ payload ຕ້ອງເປັນ JSON ທີ່ເຂົ້າລະຫັດ Base64URL. ຖ້າສ່ວນໃດສ່ວນໜຶ່ງຜິດພາດ, ເຄື່ອງມືຈະລາຍງານວ່າສ່ວນໃດບໍ່ຖືກຕ້ອງ. ຍະຫວ່າງເກີນ ຫຼື ການຄັດລອກມາບໍ່ຄົບ ແມ່ນສາເຫດທີ່ພົບເລື້ອຍທີ່ສຸດ.

ຟຣີແທ້ບໍ?

ແມ່ນແລ້ວ. ທຸກເຄື່ອງມືແມ່ນໃຊ້ຟຣີ, ບໍ່ຕ້ອງມີບັນຊີ ແລະ ບໍ່ຕ້ອງໃຊ້ບັດເຄຣດິດ. ການເຮັດວຽກທັງໝົດແມ່ນດຳເນີນຢູ່ໃນອຸປະກອນຂອງທ່ານແທນທີ່ຈະຢູ່ໃນເຊີບເວີຂອງພວກເຮົາ, ເຊິ່ງເຮັດໃຫ້ເຮົາສາມາດໃຫ້ບໍລິການໄດ້ຟຣີ.

ມັນເຮັດວຽກຢູ່ໃນມືຖືບໍ?

ໄດ້. ມັນເຮັດວຽກໃນບຣາວເຊີມືຖືລຸ້ນໃໝ່ເທິງ iOS ແລະ Android ໂດຍບໍ່ຕ້ອງຕິດຕັ້ງຫຍັງ.

🔑

ຕົວຖອດ JWT ຟຣີ

ຖອດລະຫັດ ແລະ ກວດ JSON Web Token ໃດໆ. ເບິ່ງ header, payload, ການໝົດອາຍຸ ແລະ claim ມາດຕະຖານ. ທຸກຢ່າງ local ໃນບຣາວເຊີ — token ບໍ່ຮົ່ວ.

ເຮັດວຽກໃນບຣາວເຊີບໍ່ຕ້ອງລົງທະບຽນ, ບໍ່ມີໜ້າຕ່າງປັອບອັບບໍ່ຈໍາເປັນຕ້ອງເຂົ້າສູ່ລະບົບຟຣີຕະຫຼອດໄປ

ເຮັດວຽກແບບອອບໄລນ໌ໄດ້ຫຼັງໂຫຼດແລ້ວ

JWT Token

🔒 Token ຈະຖືກຖອດລະຫັດທັງໝົດໃນຕົວທ່ອງເວັບ. ບໍ່ມີຫຍັງຖືກສົ່ງໄປ server.

ການນຳໃຊ້ທົ່ວໄປ

ບັນຫາ Auth ດ້ວຍ JWT Decoderກວດ JWTs ຈາກທີ່ຜ່ານມາ ເພື່ອ debug login failures ບັນຫາ permission ແລະ token expiration.
ກວດ API Tokens ໃນລະຫວ່າງທົດສອບ Endpointsວາງ JWTs ທີ່ສົ່ງຜ່ານໂດຍ API ເພື່ອຢືນຢັນ claims scopes ແລະ permissions ຖືກສະຫນອງ.
ກວດ Security Audit JWT Tokensປະເມີນ JWTs ເປັນສ່ວນຫນຶ່ງຂອງ security audit — ກວດເວລາ signing algorithms ທີ່ອ່ອນ token lifetimes ທີ່ເກີນ ຫຼື ຂໍ້ມູນທີ່ອາດຈະຮັດ payload.
ກວດ OAuth ແລະ OpenID Connect Tokensວາງ access tokens ID tokens ແລະ refresh tokens ຈາກ Google Auth0 Okta Microsoft ແລະ OAuth providers ອື່ນໆ.
ຮຽນຮູ້ວິທີ JWT Tokens ເຮັດວຽກວາງ example JWTs ເພື່ອເຂົ້າໃຈໂຄງສ້າງ header payload ແລະ signature. ເບິ່ງຕົວຢ່າງ real-world claims.

ມັນເຮັດວຽກແນວໃດ

ຕົວຖອດລະຫັດແມ່ນຕົວແຍກວິເຄາະທີ່ຂຽນເອງໂດຍບໍ່ໃຊ້ໄລບຣາຣີພາຍນອກ ເຊິ່ງເຮັດວຽກທັງໝົດພາຍໃນບຣາວເຊີຂອງທ່ານ: ມັນແບ່ງໂທເຄັນຕາມຈຸດ, ປ່ຽນແຕ່ລະສ່ວນ Base64URL ໃຫ້ເປັນ Base64 ທຳມະດາໂດຍໃຊ້ການແທນທີ່ສະຕຣິງ ແລະ ຕື່ມໃຫ້ຄົບຫຼາຍຂອງສີ່, ຈາກນັ້ນເອີ້ນ atob() ພື້ນເມືອງຂອງບຣາວເຊີ ແລະ JSON.parse ເພື່ອກູ້ຄືນອົງປະກອບຫົວ ແລະ payload. ການກວດສອບລາຍເຊັນທີ່ເປັນທາງເລືອກໃຊ້ Web Crypto API (crypto.subtle.verify) — ບໍ່ມີໄລບຣາຣີ, ບໍ່ມີເຊີບເວີ.

1
ການຖອດລະຫັດ Base64URL
ເຄື່ອງມືແບ່ງ JWT ຕາມຈຸດຄັ່ນສອງອັນຂອງມັນ, ໄດ້ສາມສ່ວນ. ແຕ່ລະສ່ວນແມ່ນ Base64URL — ເຊິ່ງໃຊ້ - ແລະ _ ແທນ + ແລະ / ແລະ ບໍ່ມີການຕື່ມ. ໂຄ້ດຈະສະຫຼັບຕົວອັກສອນເຫຼົ່ານັ້ນຄືນ ແລະ ຕື່ມດ້ວຍເຄື່ອງໝາຍ =, ຈາກນັ້ນເອີ້ນ atob() ທີ່ມີໃນຕົວບຣາວເຊີເພື່ອຖອດລະຫັດໄບຕ໌.
2
ການແຍກວິເຄາະ JSON ແລະ ການສະກັດ claim
ໄບຕ໌ທີ່ຖອດລະຫັດແລ້ວຖືກສົ່ງຜ່ານ JSON.parse ເພື່ອສ້າງອົງປະກອບຫົວ ແລະ payload. claim ທີ່ລົງທະບຽນ exp, iat, ແລະ nbf ຖືກສະກັດເປັນ timestamp Unix ແລະ ປ່ຽນເປັນອົງປະກອບ Date; ສະຖານະໝົດອາຍຸຖືກກວດຄືນທຸກ 20 ວິນາທີຜ່ານ setInterval ດັ່ງນັ້ນໂທເຄັນທີ່ໝົດອາຍຸໃນຂະນະທີ່ແທັບເປີດຢູ່ຈະປ່ຽນຈາກຖືກຕ້ອງເປັນໝົດອາຍຸໂດຍອັດຕະໂນມັດ.
3
ການສະແດງລາຍເຊັນ ແລະ ການກວດສອບເປັນທາງເລືອກ
ສະຕຣິງລາຍເຊັນ Base64URL ດິບຖືກສະແດງຄຽງຄູ່ກັບຫົວ ແລະ payload. ຖ້າທ່ານໃສ່ກຸນແຈ, ເຄື່ອງມືຈະເອີ້ນ crypto.subtle.importKey ແລະ crypto.subtle.verify ເພື່ອກວດສອບລາຍເຊັນໃນເຄື່ອງ. ມັນຮັບ HMAC shared secrets (HS256/384/512), ກຸນແຈສາທາລະນະ RSA ແບບ PEM (RS256/384/512), ແລະ ກຸນແຈສາທາລະນະ ECDSA ຫຼືອົງປະກອບ JWK/JWKS (ES256/384/512) — ກຳນົດໂດຍຊ່ອງ alg ໃນຫົວ.
4
ບໍ່ມີການຮ້ອງຂໍເຄືອຂ່າຍ
ທຸກຂັ້ນຕອນ — ການຖອດລະຫັດ, ຄະນິດສາດ timestamp, ແລະ ການກວດສອບແບບເຂົ້າລະຫັດ — ເຮັດວຽກພາຍໃນເອັນຈິນ JavaScript ຂອງບຣາວເຊີ. ໂທເຄັນ ແລະ ກຸນແຈໃດໆທີ່ທ່ານໃສ່ບໍ່ອອກຈາກອຸປະກອນຂອງທ່ານເລີຍ.

JWT ມັກຈະບັນຈຸຂໍ້ມູນຮັບຮອງ session, ຕົວຕົນຜູ້ໃຊ້, ແລະ ຂອບເຂດການອະນຸຍາດ; ເຄື່ອງມືນີ້ຖອດລະຫັດ ແລະ ກວດສອບພວກມັນເປັນທາງເລືອກທັງໝົດພາຍໃນບຣາວເຊີຂອງທ່ານໂດຍໃຊ້ atob() ແລະ Web Crypto API, ດັ່ງນັ້ນທັງໂທເຄັນ ແລະ ກຸນແຈໃດໆທີ່ທ່ານໃສ່ຈຶ່ງບໍ່ຖືກສົ່ງໄປໃສ.