JWT डिकोडर

एक JSON Web Token (JWT, RFC 7519 में परिभाषित) किसी उपयोगकर्ता के बारे में claims के एक समूह को दर्शाने का एक संक्षिप्त और URL-सुरक्षित तरीका है, साथ ही इस बात का क्रिप्टोग्राफ़िक प्रमाण भी देता है कि उन claims के साथ छेड़छाड़ नहीं की गई। JWT अधिकांश आधुनिक वेब स्टैक में प्रमाणीकरण को संचालित करते हैं: जब आप लॉग इन करते हैं, तो सर्वर एक JWT बनाता है जिसमें आपकी उपयोगकर्ता ID और अनुमतियाँ होती हैं, उसे एक गुप्त कुंजी से हस्ताक्षरित करता है और आपको लौटा देता है। आपका ब्राउज़र टोकन को संग्रहीत करता है (आमतौर पर localStorage या किसी cookie में) और इसे प्रत्येक बाद के अनुरोध के Authorization हेडर में शामिल करता है। सर्वर प्रत्येक अनुरोध पर हस्ताक्षर सत्यापित करता है: यदि वह वैध है, तो टोकन के claims पर भरोसा किया जाता है; यदि उसके साथ छेड़छाड़ की गई, तो हस्ताक्षर टूट जाता है और अनुरोध अस्वीकार कर दिया जाता है। JWT के तीन भाग होते हैं जो Base64URL में एनकोड किए जाते हैं और बिंदुओं से अलग किए जाते हैं: हेडर हस्ताक्षर एल्गोरिदम घोषित करता है (HMAC-SHA256 के लिए HS256, RSA के लिए RS256, ECDSA के लिए ES256, बिना हस्ताक्षरित टोकन के लिए none, जो ख़तरनाक है और आपको उन्हें अस्वीकार कर देना चाहिए); payload में वास्तविक claims होते हैं (मानक claims जैसे विषय के लिए 'sub', समाप्ति के लिए 'exp', जारी होने की तिथि के लिए 'iat', साथ ही आपका एप्लिकेशन जो भी कस्टम claims परिभाषित करता है); हस्ताक्षर इस बात का प्रमाण है कि हेडर और payload पर किसी ऐसे व्यक्ति ने हस्ताक्षर किए जिसके पास सीक्रेट था। यह डिकोडर पहले दो भागों को प्रकट करता है, जो सार्वजनिक जानकारी हैं; हस्ताक्षर को केवल कुंजी से सत्यापित किया जा सकता है, यही कारण है कि हर JWT डिकोडर claims को बिना सत्यापन के दिखाता है।