Generatore JWT

Un generatore JWT costruisce un token Web JSON da un'intestazione, un payload di sinistri e un segreto, quindi lo firma in modo che un server possa fidarsi dei contenuti Un JWT ha tre segmenti base64url uniti da punti: l'intestazione nomina l'algoritmo di firma, il payload trasporta i sinistri e la firma è un HMAC sulle prime due parti Questo strumento li assembla tutti e tre dai valori forniti e restituisce un token che puoi inserire in un'intestazione di autorizzazione, un dispositivo di prova o un comando curl.

Il motivo per generare un token a mano è il test e il debug Quando si sta costruendo un'API che convalida i JWT, è necessario eseguire il campionamento di token con rivendicazioni specifiche: uno scaduto per confermare il percorso 401, un token per un particolare ID utente, uno con un ruolo o ambito personalizzato o uno firmato con un segreto noto in modo da poter verificare che il middleware lo accetti Scrivendoli a mano significa base64url-codificare due oggetti JSON e calcolare un HMAC, che è esattamente il tipo di lavoro vivace e soggetto a errori che uno strumento dovrebbe fare Qui incolli le affermazioni come JSON, scegli HS256, HS384 o HS512, inserisci il segreto e appare il token firmato.

Lo strumento compila anche le richieste di tempo registrate per te Accendi emise-at e timbra iat con l'ora Unix corrente; imposta una scadenza in secondi e calcola exp; imposta un offset non prima e calcola nbf. Queste tre affermazioni sono ciò a cui si riduce la maggior parte dei bug di autenticazione, quindi generarli correttamente, in pochi secondi dall'epoca anziché in millisecondi, rimuove una fonte comune di errori.

Tutto accade nel tuo browser Il payload, il segreto e la firma vengono eseguiti tutti localmente in JavaScript attraverso l'API Web Crypto integrata, quindi il tuo segreto non viene mai trasmesso, registrato o archiviato Questo è importante perché un segreto della firma è l'unico valore che consente a chiunque di coniare token validi per il tuo sistema Poiché il lavoro è locale, lo strumento continua a funzionare anche offline una volta caricata la pagina Solo gli algoritmi HMAC sono offerti apposta: RS256 ed ES256 firmano con una chiave privata e incollare una chiave privata in una pagina Web è un'abitudine che vale la pena evitare.