Generatore JWT

Un generatore JWT costruisce un token Web JSON da un'intestazione, un payload di sinistri e un segreto, quindi lo firma in modo che un server possa fidarsi dei contenuti Un JWT ha tre segmenti base64url uniti da punti: l'intestazione nomina l'algoritmo di firma, il payload trasporta i sinistri e la firma è un HMAC sulle prime due parti Questo strumento li assembla tutti e tre dai valori forniti e restituisce un token che puoi inserire in un'intestazione di autorizzazione, un dispositivo di prova o un comando curl.

Il motivo per generare un token a mano è il test e il debug Quando si sta costruendo un'API che convalida i JWT, è necessario eseguire il campionamento di token con rivendicazioni specifiche: uno scaduto per confermare il percorso 401, un token per un particolare ID utente, uno con un ruolo o ambito personalizzato o uno firmato con un segreto noto in modo da poter verificare che il middleware lo accetti Scrivendoli a mano significa base64url-codificare due oggetti JSON e calcolare un HMAC, che è esattamente il tipo di lavoro vivace e soggetto a errori che uno strumento dovrebbe fare Qui incolli le affermazioni come JSON, scegli HS256, HS384 o HS512, inserisci il segreto e appare il token firmato.

È possibile controllare questo generatore JWT online contro qualsiasi verificatore Incolla {"sub": "123", "ruolo": "admin", "iat":17000000}, mantieni HS256 con la codifica predefinita segreta a-string-secret-at-least-256-bits-long e UTF-8 (testo semplice), deseleziona Aggiungi scadenza (exp) e fai clic su Genera token Il payload trasporta già un iat, quindi lo strumento lo lascia stare e il token è identico ogni volta, terminando in .FumKGaSAuIzRc5ZnHmLGYsG5RHGObIpl2awmutJYk. Utilizzato come generatore JWT con una chiave segreta che hai già, questo è il modo più rapido per dimostrare che entrambe le parti sono d'accordo sui byte della chiave.

Lo strumento compila anche due richieste di risarcimento del tempo registrate per te Aggiungi francobolli emessi-at (iat) iat con l'ora Unix corrente, a meno che il tuo payload non ne abbia già uno, e Aggiungi set di scadenza (exp) exp all'ora corrente più il valore Scade in (secondi), sostituendo qualsiasi exp nel payload Non esiste un controllo non prima, quindi digita un timestamp nbf nel payload se ne hai bisogno I crediti temporali sono ciò a cui si riduce la maggior parte dei bug di autenticazione, quindi generarli in pochi secondi dall'epoca anziché in millisecondi rimuove una fonte comune di errori.

Tutto accade nel tuo browser Il payload, il segreto e la firma vengono eseguiti tutti localmente in JavaScript attraverso l'API Web Crypto integrata, quindi il tuo segreto non viene mai trasmesso, registrato o archiviato Questo è importante perché un segreto della firma è l'unico valore che consente a chiunque di coniare token validi per il tuo sistema Poiché il lavoro è locale, lo strumento continua a funzionare anche offline una volta caricata la pagina Solo gli algoritmi HMAC sono offerti apposta: RS256 ed ES256 firmano con una chiave privata e incollare una chiave privata in una pagina Web è un'abitudine che vale la pena evitare.