JWT Çözücü
JWT, noktayla ayrılmış üç parçadan oluşur: başlık, yük ve imza. Bu araç başlığı ve yükü çözer, exp, iat ve nbf değerlerini UTC ve yerel saatle gösterir. İmzayı doğrulamaz.
Nasıl kullanılır
- Tokenı kutuya yapıştırın. Baştaki Bearer, tırnaklar ve satır sonları yok sayılır.
- Başlığı ve yükü biçimlendirilmiş JSON olarak okuyun. İkisini de Kopyala ile kopyalayabilirsiniz.
- Rozeti ve zaman taleplerini kontrol edin. exp, iat ve nbf; UTC ve yerel saatle, ne kadar önce ya da ne kadar sonra olduklarıyla birlikte gösterilir.
- Elinizde token yok mu? Uydurma bir tokenla denemek için Örnek yükle düğmesine basın.
Nasıl hesaplanır
Bir JWT noktalarla ayrılmış üç bölümden oluşur: başlık (header), yük (payload) ve imza. Başlık ve yük, base64url ile kodlanmış JSON metnidir; bu, + ve / yerine - ve _ kullanan, = dolgusu olmayan base64 biçimidir. Araç bu kodlamayı geri çevirir, baytları UTF-8 olarak okur ve JSON'u girintili yazdırır.
exp, iat ve nbf, 1 Ocak 1970 UTC'den bu yana geçen saniye sayılarıdır. exp tokenın süresinin dolduğu an, iat verildiği an, nbf ise geçerli olduğu en erken andır. Rozet standart kurala uyar: şu anki zaman exp'e eşit ya da sonrasındaysa süresi dolmuş, nbf'den önceyse henüz geçerli değil sayılır. Şu anki zaman için cihazınızın saati kullanılır.
İmza, tokendaki ham metin olarak gösterilir. Bu araç imzayı doğrulamaz. Çözmek için yalnızca token yeter, ama imzayı doğrulamak gizli anahtar veya açık anahtar ister ve bunu yalnızca sunucunuz yapmalıdır.
Yaygın talepler (claim)
| Talep | Anlamı |
|---|---|
| iss | Veren: tokenı kimin oluşturduğu |
| sub | Konu: tokenın kimi ilgilendirdiği, çoğu zaman kullanıcı kimliği |
| aud | Hedef kitle: tokenın kime yönelik olduğu |
| exp | Son geçerlilik zamanı, 1970 UTC'den beri saniye |
| nbf | Not before: bundan önce geçerli değil |
| iat | Verilme zamanı: tokenın oluşturulduğu an |
| jti | Token kimliği: bu tokena özgü tanımlayıcı |
Sık sorulan sorular
İmza doğrulanıyor mu?
Hayır. Yalnızca başlık ve yük çözülür. Herkes bir JWT'yi çözebilir ve herkes istediği içerikle JWT yazabilir; bu yüzden bir tokena düzgün çözüldü diye asla güvenmeyin. İmzayı sunucunuzda doğru anahtarla doğrulayın.
Tokenım bir yere gönderiliyor mu?
Hayır. Çözme işlemi tarayıcınızda yapılır, hiçbir şey yüklenmez. Yine de gerçek tokenlara şifre gibi davranın: canlı bir üretim tokenını güvenmediğiniz bir araca yapıştırmayın.
Bir dakika önce çalışan token neden Süresi dolmuş görünüyor?
Rozet exp değerini bu cihazın saatiyle karşılaştırır. Cihaz saati yanlışsa veya sunucu biraz saat kaymasına izin veriyorsa ikisi kısa bir süre farklı sonuç verebilir.
alg none ne demek?
İmzasız, korumasız bir tokenı belirtir. Sunucu, bilerek imzasız token kabul etmiyorsa (bu nadirdir) onu reddetmelidir. Araç bunu gördüğünde uyarı gösterir.
Yük şifreli mi?
Hayır. Normal imzalı bir JWT yalnızca kodlanmıştır, elinde tutan herkes yükü okuyabilir. İçine gizli bilgi koymayın. Şifreli tokenlar (JWE) beş bölümden oluşur ve bu araçla okunamaz.