Проверка подписи JWT

Секрет используется в том виде, в котором введён

Поле секрета считывается как текст UTF-8, символ за символом. Конечный пробел или перенос строки, случайно скопированный вместе с секретом, приведёт к ошибке проверки действительного токена. Некоторые платформы отображают ключ HMAC в кодировке Base64; если проверка не проходит с заведомо правильным ключом, обычно причиной является именно эта кодировка, а ключ, чьи исходные байты не являются текстом, нельзя ввести здесь.

RFC 7518 требует, чтобы ключ HMAC был не короче результата хеширования: для HS256 это 32 bytes. Поэтому короткие секреты вроде secret подходят только для тестирования.

Чего не показывает действительный результат

Проверка охватывает только подпись. Токен, срок действия которого истёк в прошлом году, всё равно будет считаться действительным, поэтому сравните его утверждение exp с текущим временем на странице Время Unix, а также проверьте iss и aud в соответствии с ожиданиями вашего сервиса.

Токены, подписанные с помощью RS256, ES256 или другого алгоритма с открытым ключом, здесь не проверяются. Для этого нужен открытый ключ издателя, который поставщики удостоверений обычно публикуют как JSON Web Key Set; декодер JWT по-прежнему считывает их утверждения.

Как пользоваться

1. Вставьте строку токена JWT в кодировке Base64.
2. Введите секретный ключ HMAC.
3. Просмотрите декодированные заголовок и полезную нагрузку, а также индикатор проверки подписи в реальном времени.

Конфиденциальность и ограничения

Токены и секретные ключи обрабатываются только в памяти клиента и никогда не передаются по сети.