JWT задлагч — үнэгүй
Дурын JSON Web Token-г задлаж шинжлэх. Толгой хэсэг, агуулга, дуусгавар болон стандарт мэдэгдлүүдийг харах. Бүх зүйл хөтчид орон нутгийн байдлаар ажилладаг — токенууд таны төхөөрөмжнөөс гарахгүй.
🔒 Токен бүхэлдээ хөтчид декодлогдоно. Сервер рүү юу ч илгээхгүй.
Түгээмэл хэрэглээ
- JWT декодёр ашиглан нарийвчилсан баталгаажуулалтын асуудлуудыг засахТаны програмаас JWT-ыг шалгахын зориулалтаар нэвтрэлтийн алдаа, зөвшөөрлийн асуудал болон токений сонирхол байдлын асуудлуудыг засах.
- Төргөнчний туршилтын үед API токенүүдийг шалгаарайТаны API-р буцаасан JWT-ыг авч хэрэгслүүлэх, зөв авч үзэлтүүд, цилиндрүүд болон зөвшөөрлүүдийг гаргадаг байдлыг шалгахын зориулалтаар.
- Аюулгүй байдлын аудит JWT токенүүдАюулгүй байдлын аудитын хэсэг болгон JWT-ыг хэмжээлэх — сул подписанм алгоритм, нэмэлт токений амьдрал эсвэл сэнсүүдийн хуримтлалыг шалгаарай.
- OAuth болон OpenID Connect токенүүдийг шалгаарайGoogle, Auth0, Okta, Microsoft болон бусад OAuth үйлчлэгчүүдээс зөвшөөрлийн токенүүд, ID токенүүд болон дахин нээлтийн токенүүдийг кодолж авах.
- JWT токенүүд хэрхэн ажилладаг болохыг сурахБүтц, сэнсүүлэлт болон гарын авлагыг ойлгохын зориулалтаар жишээ JWT-ыг кодолж авах: толгой, ачаа болон гарын авлага. Бодит дэлхийн авч үзэлтүүдийг үзнэ үү.
Хэрхэн ажилладаг
Задлагч бол гараар бичсэн, хараат бус задлагч бөгөөд бүхэлдээ таны хөтчид ажилладаг: token-ыг цэгээр хуваадаг, Base64URL хэсэг бүрийг мөр орлуулгаар энгийн Base64 руу хөрвүүлж = тэмдэгтээр дөрвийн үржвэр болтол нөхдөг, дараа нь толгой хэсэг, payload объектыг сэргээхийн тулд хөтчийн уугуул atob(), JSON.parse-г дуудна. Сонголтоор хийх гарын үсгийн баталгаажуулалт Web Crypto API (crypto.subtle.verify) ашигладаг — номын сан, сервер хамааралгүй.
- 1Base64URL декодлолтХэрэгсэл JWT-г хоёр цэг тусгаарлагчаар хуваадаг, гурван хэсэг гардаг. Хэсэг бүр Base64URL — + болон / орлуулж -, _ ашигладаг, padding орхидог. Код эдгээр тэмдэгтийг буцаан сольж = тэмдгээр padded болгож, хөтчийн байгуулагдмал atob()-г дуудаж байтуудыг декодолдог.
- 2JSON задлалт, claim гаргаж авалтДекодлогдсон байтууд JSON.parse-ээр дамжиж толгой хэсэг, payload объект гаргадаг. Бүртгэгдсэн claim exp, iat, nbf нь Unix цаг тэмдэг болж гаргагдаж Date объект руу хөрвүүлэгддэг; дуусах статус setInterval-ээр 20 секунд тутамд дахин шалгагддаг тул таб нээлттэй байхад дуусах token хүчинтэйгээс дууссан руу автоматаар шилждэг. Харьцангуй цаг тэмдэг ('3 хоногийн дараа', '2 цагийн өмнө') таны хөтчийн бүс нутгаар Intl.RelativeTimeFormat-аар форматлогддог.
- 3Гарын үсгийн харагдац, сонголт баталгаажуулалтТүүхий Base64URL гарын үсгийн мөр толгой хэсэг, payload-ийн хамт харагддаг. Хэрэв та түлхүүр өгвөл хэрэгсэл гарын үсгийг локалиар шалгахын тулд crypto.subtle.importKey, crypto.subtle.verify дуудна. Энэ нь HMAC хуваалцсан нууц (HS256/384/512), PEM-кодлогдсон RSA нийтийн түлхүүр (RS256/384/512), ECDSA нийтийн түлхүүр эсвэл JWK/JWKS объект (ES256/384/512)-г хүлээн авдаг — толгой хэсэг дэх alg талбараар тодорхойлогддог.
- 4Сүлжээний хүсэлт байхгүйАлхам бүр — декодлолт, цаг тэмдгийн математик, криптографийн баталгаажуулалт — хөтчийн JavaScript систем дотор явагддаг. Token, та оруулсан ямар ч түлхүүр материал таны төхөөрөмжөөс хэзээ ч гардаггүй.
JWT ихэвчлэн session итгэмжлэл, хэрэглэгчийн таних тэмдэг, зөвшөөрлийн хамрах хүрээ агуулдаг; энэ хэрэгсэл atob(), Web Crypto API ашиглан тэдгээрийг бүхэлдээ таны хөтчид декодолж сонголтоор баталгаажуулдаг тул ямар ч token, түлхүүр хаана ч дамжуулагддаггүй.
Холбоотой хэрэгслүүд
URL кодлогч ба декодер
URL болон асуулгын мөрийг кодлох, тайлах. EncodeURIComponent, decodeURIComponent болон асуулгын мөрийг задлан шинжлэхийг дэмждэг.
UUID шинжлэгч
Дурын UUID эсвэл ULID-ийг задлах — хувилбар, вариант, мөн v1, v6, v7, ULID-д суулгагдсан үүсгэх цагийн тэмдэгтийг харах. Бүхэлдээ хөтчид ажилладаг.
Base64 кодлогч ба задлагч
Текст эсвэл файлуудыг Base64 болгон кодлох эсвэл Base64 мөрүүдийг энгийн текст болгон задлах. Агшин зуур, хувийн, үнэгүй.