JWT çözücü
Tamamen tarayıcınızda çalışır. Dosyalarınız ve verileriniz cihazınızdan hiç çıkmaz.
- iat: 2018-01-18T01:30:22.000Z
Bu araç hakkında
Bir JSON Web Token, noktalarla ayrılmış üç Base64Url kodlu bölümden oluşur: imzalama algoritmasını tanımlayan bir başlık, claim’lerin bulunduğu bir yük ve bir imza. Başlık ve yük yalnızca kodlanmıştır, şifrelenmemiştir; token’ı elinde bulunduran herkes bunları okuyabilir. Bu araç ikisini de anında çözer. Format RFC 7519 içinde tanımlanır.
Bir token yapıştırdığımda ne görebilirim?
Bir token yapıştırın, başlığını ve yükünü biçimlendirilmiş JSON olarak görün; içerdiği zaman tabanlı her claim için sade bir açıklama da eklenir. Başlık genellikle imzalama algoritmasını (alg) ve token tipini belirtir. Yük, sağlayıcının oraya koyduğu her şeyi tutar: veren (iss), konu (sub), hedef kitle (aud), son kullanma (exp), oluşturulma zamanı (iat), geçerlilik başlangıcı (nbf) gibi standart claim’ler ve sağlayıcınızın eklediği rol veya scope gibi özel claim’ler. exp, iat ve nbf için araç, Unix zaman damgasını okunabilir bir tarihe çevirir ve token’ın süresi dolmuş mu yoksa henüz geçerli değil mi olduğunu söyler; bir API’nin token’ı neden reddettiğini anlamanın genelde en hızlı yolu budur. Bir token’ın çözülebilmesi için nokta ile ayrılmış tam olarak üç parçası ve ilk ikisinde geçerli Base64Url kodlu JSON olması gerekir; bunun dışındaki her şey geçersiz JWT olarak bildirilir.
Token’ım bir yere gönderiliyor mu?
Hayır. Çözme işlemi tamamen tarayıcınızda gerçekleşir: token yerel olarak ayrıştırılıp parçalanır, ağ üzerinden hiçbir şey iletilmez. Bu yüzden üretim ortamından gelenler dahil gerçek erişim token’larını, üçüncü bir tarafın eline geçme kaygısı olmadan yapıştırabilirsiniz.
Bu araç imzayı doğruluyor mu?
Hayır. Bu önemli bir ayrım: araç yalnızca başlığı ve yükü çözer; bu da Base64Url çözmenin ardından bir JSON ayrıştırmadan ibarettir. İmzayı kontrol etmez, dolayısıyla bir token’ın gerçek mi yoksa üzerinde oynanmış mı olduğunu söyleyemez. Çözmek bir token’ın ne iddia ettiğini gösterir; doğrulamak ise bu iddiaların güvenilir olduğunu kanıtlar ve bu kontrolün, sağlayıcının imzalama anahtarına erişimi olan bir sunucuda veya arka uç kütüphanesinde yapılması gerekir. Reddedilen bir token’ı araştırıyorsanız, burada çözmek claim’lerin doğru görünüp görünmediğini hızlıca kontrol etmenin bir yoludur, ama başarılı bir çözme geçerli bir imzayla aynı şey değildir.
Üç bölümün nasıl bir araya geldiği ve her standart claim’in ne anlama geldiği hakkında arka plan bilgisi için RFC’nin yanında Auth0’ın JWT tanıtımı faydalı bir kaynak.