JWT सिग्नेचर वेरिफ़ायर

Secret को जैसा लिखा गया है, वैसा ही इस्तेमाल किया जाता है

Secret field को UTF-8 text के रूप में, अक्षर-दर-अक्षर पढ़ा जाता है। इसके साथ कॉपी किया गया trailing space या newline किसी valid token को fail करा सकता है। कुछ platforms HMAC key को Base64-encoded रूप में दिखाते हैं; अगर सही key से verification विफल हो, तो आमतौर पर यही encoding कारण होती है। जिस key के raw bytes text नहीं हैं, उसे यहाँ दर्ज नहीं किया जा सकता।

RFC 7518 के अनुसार HMAC key hash output जितनी लंबी होनी चाहिए—HS256 के लिए 32 bytes—इसलिए secret जैसे छोटे secrets केवल testing के लिए ठीक हैं।

Valid result आपको क्या नहीं बताता

यह जाँच केवल signature को कवर करती है। पिछले साल expire हुआ token भी valid दिखेगा, इसलिए Unix Timestamp page पर उसके exp claim की तुलना वर्तमान समय से करें और iss तथा aud को अपनी service की अपेक्षाओं से मिलाएँ।

RS256, ES256 या किसी अन्य public-key algorithm से signed tokens यहाँ verify नहीं किए जाते। इनके लिए issuer की public key चाहिए, जिसे identity providers आमतौर पर JSON Web Key Set के रूप में प्रकाशित करते हैं; JWT डिकोडर फिर भी उनके claims पढ़ सकता है।

इस्तेमाल करने का तरीका

1. Base64-एन्कोडेड JWT टोकन स्ट्रिंग पेस्ट करें।
2. अपनी HMAC सीक्रेट कुंजी दर्ज करें।
3. डीकोड किए गए हेडर, पेलोड और लाइव सिग्नेचर सत्यापन बैज की समीक्षा करें।

गोपनीयता और सीमाएँ

टोकन और सीक्रेट कुंजियों को केवल क्लाइंट मेमोरी में प्रोसेस किया जाता है और नेटवर्क पर कभी भेजा नहीं जाता।