Dekoder JWT

JSON Web Token (JWT, zdefiniowany w RFC 7519) to kompaktowy i bezpieczny dla adresów URL sposób reprezentowania zestawu oświadczeń (claims) dotyczących użytkownika, z kryptograficznym dowodem, że te oświadczenia nie zostały zmanipulowane. Tokeny JWT napędzają uwierzytelnianie w większości nowoczesnych stosów internetowych: gdy się logujesz, serwer tworzy JWT zawierający Twój identyfikator użytkownika i uprawnienia, podpisuje go kluczem tajnym i odsyła Ci go z powrotem. Twoja przeglądarka przechowuje token (zwykle w localStorage lub w pliku cookie) i dołącza go w nagłówku Authorization każdego kolejnego żądania. Serwer weryfikuje podpis przy każdym żądaniu: jeśli jest prawidłowy, oświadczenia tokena są godne zaufania; jeśli token został zmanipulowany, podpis się nie zgadza i żądanie zostaje odrzucone. Tokeny JWT mają trzy części zakodowane w Base64URL i rozdzielone kropkami: nagłówek deklaruje algorytm podpisu (HS256 dla HMAC-SHA256, RS256 dla RSA, ES256 dla ECDSA, none dla tokenów niepodpisanych, co jest niebezpieczne i powinieneś je odrzucać); ładunek (payload) zawiera właściwe oświadczenia (standardowe oświadczenia, takie jak „sub” dla podmiotu, „exp” dla terminu ważności, „iat” dla daty wydania, a także dowolne niestandardowe oświadczenia definiowane przez Twoją aplikację); podpis jest dowodem, że nagłówek i ładunek zostały podpisane przez kogoś, kto posiadał sekret. Ten dekoder ujawnia dwie pierwsze części, które są informacją publiczną; podpis można zweryfikować wyłącznie za pomocą klucza, dlatego każdy dekoder JWT pokazuje oświadczenia bez weryfikacji.