Bir JWT, üç base64url bölümünden oluşur: imzalama algoritmasını belirten bir başlık, iddialardan oluşan bir yük ve bir imza. İlk ikisi şifrelenmemiştir - token'ı elinde bulunduran herkes bunları okuyabilir - bu nedenle bunlardan birini çözmek için anahtar veya sunucuya gerek yoktur. Bu işlem sayfada yapılır, token'ın exp iddiasından hala geçerli olup olmadığı belirlenir ve zaman damgaları tarih olarak görüntülenir.
Kod çözme işlemi tarayıcınızda gerçekleşir ve token asla ağ üzerinden geçmez. Bu, göründüğünden daha önemlidir: JWT canlı bir kimlik bilgisidir ve üretim token'ını bir sunucuya gönderen bir araca yapıştırmak, kimlik bilgilerinin ifşa edilmesidir. Bu sayfayı yükleyin, bağlantıyı kesin ve yine de çalışır.
İmzayı doğrulamaz ve yalnızca token'a sahip hiçbir kod çözücü bunu yapamaz. Doğrulama için imzalama anahtarı gerekir ve bu da tam olarak bir web sayfasına yapıştırmayacağınız şeydir. Çıktıyı "this is what the token claims" olarak okuyun, "this token is genuine" olarak değil; herkes temiz bir şekilde çözülebilen ve hiçbir şeyle imzalanmamış bir JWT oluşturabilir.
exp, geçerlilik süresini ve iat ise yayınlanma zamanını belirtir; her ikisi de milisaniye yerine epoch'tan itibaren saniye cinsinden ifade edilir, bu da çoğu ilk denemeyi bozan 1000'lik sapmaya neden olur. sub, konuyu, aud, hedef kitleyi ve iss ise ihraç edeni belirtir; farklı bir kitle için geçerli bir token, 401 hatasının gerçek ve kolayca gözden kaçan bir nedenidir. Kapsamlar ve roller standartlardan ziyade geleneklerdir, bu nedenle ihraç edenin seçtiği isim altında görünürler.
Tüm araçlar · Başlangıç rehberi · 39 mock REST API’nin tamamı
Son güncelleme