Provera JWT potpisa

Tajna se koristi upravo onako kako je uneta

Polje za tajnu čita se kao UTF-8 tekst, znak po znak. Razmak ili prelom reda na kraju, kopiran zajedno sa njom, može da učini da važeći token ne prođe proveru. Neke platforme prikazuju HMAC ključ kodiran u Base64 formatu; ako provera ne uspe sa ključem za koji znate da je ispravan, to kodiranje je uobičajen uzrok, a ključ čiji sirovi bajtovi nisu tekst ne može se uneti ovde.

RFC 7518 zahteva HMAC ključ najmanje dug kao izlaz heša, odnosno 32 bajta za HS256, zato su kratke tajne kao secret pogodne samo za testiranje.

Šta vam važeći rezultat ne govori

Provera obuhvata samo potpis. Tokenu koji je istekao prošle godine i dalje će biti prikazano da je važeći, zato uporedite njegov zahtev exp sa trenutnim vremenom na stranici Unix timestamp, a iss i aud proverite u odnosu na ono što vaš servis očekuje.

Tokeni potpisani algoritmom RS256, ES256 ili drugim algoritmom sa javnim ključem ovde se ne proveravaju. Za njih je potreban javni ključ izdavača, koji provajderi identiteta obično objavljuju kao JSON Web Key Set; Dekoder JWT i dalje učitava njihove zahteve.

Kako se koristi

1. Nalepite tekstualni niz JWT tokena kodiran Base64 formatom.
2. Unesite svoj tajni HMAC ključ.
3. Pregledajte dekodirano zaglavlje i sadržaj, kao i oznaku provere potpisa uživo.

Privatnost i ograničenja

Tokeni i tajni ključevi obrađuju se isključivo u memoriji klijenta i nikada se ne prenose preko mreže.