JWT ジェネレーター

JWTジェネレータは、ヘッダー、クレームのペイロード、およびシークレットからJSON Webトークンを構築し、サーバーがコンテンツを信頼できるように署名します。 JWTには、ドットで結合された3 つのbase64urlセグメントがあります: ヘッダーは署名アルゴリズムを命名し、ペイロードはクレームを運び、署名は最初の2 つの部分の上にHMACです このツールは、3 つすべてを供給する値から組み立て、Authorizationヘッダー、テストフィクスチャ、またはcurlコマンドにドロップできるトークンを返します。

トークンを手作業で生成する理由は、テストとデバッグです。 JWT を検証する API を構築する場合、特定のクレームを含むサンプル トークンが必要です。 401 パスを確認するための期限切れのトークン、特定のユーザー ID のトークン、カスタム ロールまたはスコープを持つトークン、またはミドルウェアがそれを受け入れることを確認できるように既知のシークレットで署名されたトークン。手でそれらを書くということは、2 つの JSON オブジェクトを base64url エンコードし、ツールが行うべき面倒でエラーが発生しやすい作業である HMAC を計算することを意味します。ここでは、クレームを JSON として貼り付け、HS256、HS384、または HS512 を選択し、シークレットを入力すると、署名されたトークンが表示されます。

このツールは、登録された時間クレームも入力します。 issued-at をオンにすると、現在の Unix 時間で iat がスタンプされます。 exp を秒単位で期限切れに設定し、exp を計算します。 nbf を計算します。これら 3 つのクレームは、ほとんどの認証バグが原因であるため、ミリ秒ではなく時代以来数秒で正しく生成すると、一般的な間違いの原因が削除されます。

すべてはブラウザで行われます。ペイロード、シークレット、署名はすべて、組み込みの Web Crypto API を介して JavaScript でローカルに実行されるため、シークレットは決して送信、ログ記録、または保存されません。これは重要です。署名シークレットは、誰でもシステムに有効なトークンを作成できる 1 つの値であるためです。作業がローカルであるため、ツールはページがロードされるとオフラインでも機能します。 HMAC アルゴリズムのみが意図的に提供されます。RS256 と ES256 は秘密キーで署名し、秘密キーを Web ページに貼り付けることは避ける価値のある習慣です。