Gerador JWT

Um gerador JWT constrói um Token Web JSON a partir de um cabeçalho, uma carga útil de reivindicações e um segredo, depois assina-o para que um servidor possa confiar no conteúdo Um JWT tem três segmentos base64url unidos por pontos: o cabeçalho nomeia o algoritmo de assinatura, a carga útil carrega as reivindicações e a assinatura é um HMAC sobre as duas primeiras partes Esta ferramenta monta todos os três a partir dos valores que você fornece e retorna um token que você pode soltar em um cabeçalho de Autorização, um dispositivo de teste ou um comando curl.

A razão para gerar um token à mão é testar e depurar Quando você está construindo uma API que valida JWTs, você precisa de tokens de amostra com reivindicações específicas: um expirado para confirmar seu caminho 401, um token para um ID de usuário específico, um com uma função ou escopo personalizado, ou um assinado com um segredo conhecido para que você possa verificar se seu middleware aceita-o Escrevê-los à mão significa base64url-codificação de dois objetos JSON e computação de um HMAC, que é exatamente o tipo de trabalho complicado e propenso a erros que uma ferramenta deve fazer Aqui você cola as reivindicações como JSON, escolha HS256, HS384 ou HS512, insira o segredo e o token assinado aparece.

A ferramenta também preenche as reivindicações de tempo registradas para você Ative o emitido e carimba iat com o tempo atual do Unix; defina um vencimento em segundos e calcula os vencimentos; defina um deslocamento não anterior e calcula nbf. Essas três reivindicações são o que a maioria dos bugs de autenticação se resume, portanto, gerá-los corretamente, em segundos desde a época, em vez de milissegundos, remove uma fonte comum de erros.

Tudo acontece no seu navegador A carga útil, o segredo e a assinatura são todos executados localmente em JavaScript através da API Web Crypto integrada, para que seu segredo nunca seja transmitido, registrado ou armazenado Isso é importante porque um segredo de assinatura é o único valor que permite a qualquer pessoa cunhar tokens válidos para o seu sistema Como o trabalho é local, a ferramenta também continua funcionando offline assim que a página é carregada Somente algoritmos HMAC são oferecidos propositalmente: RS256 e ES256 assinam com uma chave privada e colar uma chave privada em uma página da web é um hábito que vale a pena evitar.