JWT Generator

Een JWT-generator bouwt een JSON Web Token op uit een header, een payload van claims en een geheim, en ondertekent deze vervolgens zodat een server de inhoud kan vertrouwen Een JWT heeft drie basis64url-segmenten die met stippen zijn verbonden: de header noemt het ondertekeningsalgoritme, de payload draagt de claims en de handtekening is een HMAC over de eerste twee delen. Deze tool verzamelt ze alle drie uit de waarden die u levert en retourneert een token dat u kunt laten vallen in een autorisatieheader, een testopstelling of een krulopdracht.

De reden om een token met de hand te genereren is testen en debuggen Wanneer u een API bouwt die JWT's valideert, hebt u voorbeeldtokens nodig met specifieke claims: een verlopen token om uw 401-pad te bevestigen, een token voor een bepaalde gebruikers-ID, een met een aangepaste rol of scope, of een gesigneerd met een bekend geheim zodat u kunt verifiëren dat uw middleware dit accepteert Met de hand schrijven betekent base64url-codering van twee JSON-objecten en het berekenen van een HMAC, wat precies het soort onhandig, foutgevoelig werk is dat een tool zou moeten doen Hier plakt u de claims als JSON, pick HS256, HS384 of HS512, of HS512, of HS, en het geheim en tekent u het geheim in.

De tool vult ook de geregistreerde tijdclaims voor u in. Schakel uitgegeven-aan in en stempelt iat met de huidige Unix-tijd; stel een vervaldatum in seconden in en berekent exp; stel een niet-vóór offset in en berekent nbf. Deze drie claims zijn waar de meeste authenticatiebugs op neerkomen, dus als u ze correct genereert, in seconden sinds het tijdperk in plaats van milliseconden, wordt een veel voorkomende bron van fouten verwijderd.

Alles gebeurt in uw browser De payload, het geheim, en de ondertekening lopen allemaal lokaal in JavaScript via de ingebouwde Web Crypto API, dus uw geheim wordt nooit verzonden, gelogd, of opgeslagen Dat is belangrijk omdat een ondertekeningsgeheim de enige waarde is waarmee iedereen geldige tokens voor uw systeem kan slaan Omdat het werk lokaal is blijft de tool ook offline functioneren zodra de pagina is geladen Alleen HMAC-algoritmen worden expres aangeboden: RS256 en ES256 ondertekenen met een privésleutel, en het plakken van een privésleutel in een webpagina is een gewoonte die het vermijden waard is.