Decodificador JWT

Por que isso é mais importante do que a maioria das ferramentas

Um JWT de um sistema ativo geralmente é uma credencial funcional. Qualquer pessoa que o possua pode atuar como esse usuário até que ele expire. Colar um em um decodificador on-line dá uma sessão a um estranho, e a maioria desses sites faz a decodificação em seu servidor, e não em seu navegador. Este faz o trabalho localmente, o que você pode confirmar na aba rede.

Decodificação não é verificação

Lê o que um token afirma. Ele não verifica a assinatura, pois para verificá-la é necessária a chave secreta ou pública que o emissor possui. Um token pode ser editado livremente e ainda será decodificado perfeitamente, e é exatamente por isso que um servidor deve verificar, em vez de apenas decodificar. Se você estiver construindo a extremidade receptora, verifique a assinatura antes de confiar em uma única reivindicação.

Quais são as três partes

Um token é cabeçalho, carga útil e assinatura, separados por pontos e codificados como base64url. O cabeçalho nomeia o algoritmo. A carga útil carrega as reivindicações: a quem se destina o token, quem o emitiu, quando foi emitido e quando expira. A assinatura é o que torna os dois primeiros confiáveis, e apenas para quem possui a chave.

Lendo os tempos

O exp, iat e nbf as declarações são carimbos de data/hora Unix em segundos. Isso os converte e informa se o token expirou. Um token expirado que ainda está sendo aceito é uma descoberta que vale a pena perseguir, assim como um token sem vencimento algum.

Isso precisa ser tratado em todo o site? Veja nosso Desenvolvimento Web back-end e aplicativos Web personalizados página.