Генератор JWT

Генератор JWT строит веб-токен JSON из заголовка, полезной нагрузки претензий и секрета, затем подписывает его, чтобы сервер мог доверять содержимому. JWT имеет три сегмента base64url, соединенных точками: заголовок называет алгоритм подписи, полезная нагрузка несет претензии, а подпись представляет собой HMAC над первыми двумя частями. Этот инструмент собирает все три из предоставленных вами значений и возвращает токен, который вы можете опустить в заголовок авторизации, тестовое приспособление или команду свертывания.

Причина создания токена вручную - тестирование и отладка. когда вы создаете API, который проверяет JWT, вам нужны образцы токенов с конкретными утверждениями: с истекшим сроком действия для подтверждения вашего пути 401, токен для определенного идентификатора пользователя, один с пользовательской ролью или областью действия или один, подписанный известным секретом, чтобы вы могли проверить, что ваше промежуточное программное обеспечение принимает его. Написание их вручную означает кодирование base64url двух объектов JSON и вычисление HMAC, что является именно тем типом скрипучей, подверженной ошибкам работы, которую должен выполнять инструмент. Здесь вы вставляете утверждения как JSON, выбираете HS256, HS384 или HS512, вводите секрет, и появляется подписанный токен.

Инструмент также заполняет зарегистрированные претензии по времени для вас. Включите выданный и он помечает iat текущим временем Unix; установите истечение в секундах и вычислите срок действия; установите смещение, не существовавшее до этого, и он вычисляет nbf. Эти три утверждения являются тем, к чему сводится большинство ошибок аутентификации, поэтому правильная их генерация за секунды с момента эпохи, а не за миллисекунды, устраняет общий источник ошибок.

Все происходит в вашем браузере. полезная нагрузка, секрет и подписание все выполняются локально в JavaScript через встроенный веб-крипто API, поэтому ваш секрет никогда не передается, не регистрируется и не сохраняется. Это важно, потому что секрет подписи - это единственное значение, которое позволяет любому чеканить действительные токены для вашей системы. Поскольку работа локальна, инструмент также продолжает работать в автономном режиме после загрузки страницы. Специально предлагаются только алгоритмы HMAC: знак RS256 и ES256 с закрытым ключом, а вставка закрытого ключа на веб-страницу - это привычка, которую стоит избегать.