Gerador JWT

Um gerador JWT constrói um Token Web JSON a partir de um cabeçalho, uma carga útil de reivindicações e um segredo, depois assina-o para que um servidor possa confiar no conteúdo Um JWT tem três segmentos base64url unidos por pontos: o cabeçalho nomeia o algoritmo de assinatura, a carga útil carrega as reivindicações e a assinatura é um HMAC sobre as duas primeiras partes Esta ferramenta monta todos os três a partir dos valores que você fornece e retorna um token que você pode soltar em um cabeçalho de Autorização, um dispositivo de teste ou um comando curl.

A razão para gerar um token à mão é testar e depurar Quando você está construindo uma API que valida JWTs, você precisa de tokens de amostra com reivindicações específicas: um expirado para confirmar seu caminho 401, um token para um ID de usuário específico, um com uma função ou escopo personalizado, ou um assinado com um segredo conhecido para que você possa verificar se seu middleware aceita-o Escrevê-los à mão significa base64url-codificação de dois objetos JSON e computação de um HMAC, que é exatamente o tipo de trabalho complicado e propenso a erros que uma ferramenta deve fazer Aqui você cola as reivindicações como JSON, escolha HS256, HS384 ou HS512, insira o segredo e o token assinado aparece.

Você pode verificar este gerador JWT online em qualquer verificador. Colar {"sub":"123", "role": "admin", "iat":170000000}, manter HS256 com o segredo padrão a-string-secret-at-least-256-bits-long e codificação UTF-8 (texto simples), untick Adicionar expiração (exp) e clique em Gerar Token A carga útil já carrega um iat, então a ferramenta o deixa sozinho e o token é idêntico todas as vezes, terminando em .FumKGaSAuIzRc5ZnHmLGYsG5RHGObIpl2awmuMAtJYk. Usado como um gerador JWT com uma chave secreta que você já possui, que é a maneira mais rápida de provar que ambos os lados concordam nos bytes de chave.

A ferramenta também preenche duas reivindicações de tempo registradas para você Adicionar selos emitidos em (iat) iat com a hora atual do Unix, a menos que sua carga útil já tenha um, e Adicionar conjuntos de expiração (exp) exp ao tempo atual mais o valor Expira em (segundos), substituindo qualquer exp na carga útil Não há controle não anterior, então digite um carimbo de data/hora nbf na carga útil se precisar de um As reivindicações de tempo são o que a maioria dos bugs de autenticação se resume, gerando-os em segundos desde que a época, em vez de milissegundos, remove uma fonte comum de erros.

Tudo acontece no seu navegador A carga útil, o segredo e a assinatura são todos executados localmente em JavaScript através da API Web Crypto integrada, para que seu segredo nunca seja transmitido, registrado ou armazenado Isso é importante porque um segredo de assinatura é o único valor que permite a qualquer pessoa cunhar tokens válidos para o seu sistema Como o trabalho é local, a ferramenta também continua funcionando offline assim que a página é carregada Somente algoritmos HMAC são oferecidos propositalmente: RS256 e ES256 assinam com uma chave privada e colar uma chave privada em uma página da web é um hábito que vale a pena evitar.