Decodificatore di JWT

Un JSON Web Token (JWT, definito nella RFC 7519) è un modo compatto e sicuro per URL di rappresentare un insieme di rivendicazioni (claim) su un utente, con prova crittografica che tali rivendicazioni non sono state manomesse. I JWT alimentano l'autenticazione nella maggior parte degli stack web moderni: quando accede, il server crea un JWT che contiene il suo ID utente e i permessi, lo firma con una chiave segreta e glielo restituisce. Il suo browser memorizza il token (di solito in localStorage o in un cookie) e lo include nell'intestazione Authorization di ogni richiesta successiva. Il server verifica la firma a ogni richiesta: se è valida, le rivendicazioni del token sono attendibili; se è stato manomesso, la firma non corrisponde e la richiesta viene rifiutata. I JWT hanno tre parti codificate in Base64URL e separate da punti: l'intestazione dichiara l'algoritmo di firma (HS256 per HMAC-SHA256, RS256 per RSA, ES256 per ECDSA, none per token non firmati, il che è pericoloso e dovrebbe rifiutarli); il payload contiene le rivendicazioni vere e proprie (rivendicazioni standard come 'sub' per il soggetto, 'exp' per la scadenza, 'iat' per la data di emissione, oltre a qualsiasi rivendicazione personalizzata definita dalla sua applicazione); la firma è la prova che l'intestazione e il payload sono stati firmati da qualcuno in possesso del segreto. Questo decodificatore rivela le prime due parti, che sono informazioni pubbliche; la firma può essere verificata solo con la chiave, ed è per questo che ogni decodificatore di JWT mostra le rivendicazioni senza verifica.