Générateur JWT

Un générateur JWT construit un JSON Web Token à partir d'un en-tête, d'une charge utile de réclamations et d'un secret, puis le signe pour qu'un serveur puisse faire confiance au contenu Un JWT a trois segments de base64url joints par des points : l'en-tête nomme l'algorithme de signature, la charge utile transporte les réclamations et la signature est un HMAC sur les deux premières parties Cet outil assemble les trois à partir des valeurs que vous fournissez et renvoie un jeton que vous pouvez déposer dans un en-tête Authorization, un luminaire de test ou une commande curl.

La raison de générer un jeton à la main est le test et le débogage Lorsque vous construisez une API qui valide les JWT, vous avez besoin d'échantillons de jetons avec des revendications spécifiques : un expiré pour confirmer votre chemin 401, un jeton pour un identifiant utilisateur particulier, un avec un rôle ou une portée personnalisée, ou un signé avec un secret connu afin que vous puissiez vérifier que votre middleware l'accepte Écrire ceux-ci à la main signifie base64url-encoder deux objets JSON et calculer un HMAC, qui est exactement le genre de travail truffé, sujet aux erreurs, un outil devrait faire. Ici, vous collez les revendications comme JSON, choisissez HS256, HS384, ou HS512, inscrivez le jeton secret et HS5, inscrivez le jeton signé.

Vous pouvez vérifier ce générateur JWT en ligne par rapport à n'importe quel vérificateur Coller {« sub » : « 123 », « role » : « admin », « iat » :170000000}, conserver HS256 avec le secret par défaut a-string-secret-at-least-256-bits-long et l'encodage UTF-8 (plain text), décompresser Ajouter l'expiration (exp) et cliquer sur Générer un jeton. La charge utile transporte déjà un iat, donc l'outil le laisse seul et le jeton est identique à chaque fois, se terminant par « FumKGaSafKGaSaSaSafKG153 »M53M13M13M13M13M13M13M13M13M13M13M13M13M13M13M2M2M13M13M13M13M3M3M3M3M2M2M2M2M2M2M3M3M2M2M13M2M2M2M2M3M2M2M53M53M2M2M2M2M2M2M2M2M2M2M2M2M2M5M53M53M5M53M5M2M5M2M2M2M5M5M5M5M53M2M2M2M5M5M5M5M5M5M53M53M5M5M53M5M53M2M5M5M53M5M5M5M2M2M2M2M2M5M5M5M2M2M5M5M5M5M2M53M5M53M53M5M53M2M5M53

L'outil remplit également deux revendications de temps enregistrées pour vous Ajoutez des timbres émis à (iat) iat avec l'heure Unix actuelle, à moins que votre charge utile n'en ait déjà une, et Ajoutez des ensembles d'expiration (exp) exp à l'heure actuelle plus la valeur Expires en (secondes), en remplacement de tout exp dans la charge utile Il n'y a pas de contrôle pas avant, tapez donc un horodatage nbf dans la charge utile si vous en avez besoin. Les revendications de temps sont ce à quoi se résument la plupart des bugs d'authentification, donc les générer en secondes puisque l'époque plutôt que la milliseconde supprime une source commune d'erreurs.

Tout se passe dans votre navigateur La charge utile, le secret et la signature s'exécutent tous localement en JavaScript via l'API Web Crypto intégrée, de sorte que votre secret n'est jamais transmis, enregistré ou stocké C'est important car un secret de signature est la valeur unique qui permet à quiconque de frapper des jetons valides pour votre système Parce que le travail est local l'outil continue également de fonctionner hors ligne une fois la page chargée Seuls les algorithmes HMAC sont proposés exprès : RS256 et ES256 signent avec une clé privée, et coller une clé privée dans une page Web est une habitude qui mérite d'être évitée.