JWT (JSON Web Token)

JSON Web Token передаёт утверждения в компактном формате. Эта площадка использует подписанный JWT в компактной форме JWS: три сегмента base64url для заголовка, полезной нагрузки и подписи. JWT также поддерживает шифрование JWE, поэтому не каждый JWT состоит из трёх читаемых частей.

Как это работает

Передавайте токен как учётные данные Bearer. Проверяющая сторона должна ограничить допустимые алгоритмы, проверить подпись доверенным ключом и проверить требуемые приложением утверждения об издателе, аудитории и сроке действия. Возможность декодировать нагрузку не означает её достоверность.

Заблуждение

Подпись не шифрует нагрузку JWS: любой обладатель учебного токена может её прочитать. JWT также поддерживает шифрование JWE. Самодостаточный токен не отзывается автоматически: немедленный отзыв требует дополнительных механизмов, например списка блокировки, проверки версии токена или интроспекции.

Попробуйте здесь.

`POST /auth/v1/login` с адресом admin/admin123, и получите подлинно подписанный JWT. Расшифруйте средний сегмент и прочтите свои собственные утверждения; затем дождитесь истечения срока его действия и увидите ошибку 401.

Источники

Другие термины

Bearer-токен — Это удостоверение, наличие которого само по себе дает право доступа — использовать его может тот, кто им владеет.
JWKS — JSON Web Key Set — открытые ключи, которые эмитент публикует, чтобы любой мог проверить подписанные им токены.
Токен обновления — Долгосрочные учетные данные, используемые только для получения новых краткосрочных токенов доступа, без необходимости повторного входа пользователя в систему.
OAuth 2.0 — Стандартная структура, позволяющая приложению получать токен ограниченного доступа вместо обработки пароля пользователя.
PKCE — Ключ подтверждения для обмена кодами — одноразовый секретный ключ, который предотвращает использование украденного кода авторизации OAuth кем-либо еще.
OpenID Connect — Слой идентификации поверх OAuth 2.0, который сообщает клиенту, кто является пользователем, посредством подписанного идентификационного токена.

Читать страницу на английском

Все термины · Приёмы тестирования · Все 39 mock REST API

Последнее обновление 16 октября 2026 г.