Penjana JWT

Penjana JWT yang membina dan menandatangani JSON Web Token daripada muatan dan rahsia anda, sepenuhnya dalam pelayar anda menggunakan Web Crypto API. Ia berpasangan dengan penyahkod JWT, yang memeriksa token sedia ada.

JWT mempunyai tiga bahagian yang dipisahkan oleh titik: pengepala, muatan tuntutan, dan tandatangan, masing-masing dikod Base64url. Tandatangan itulah yang menjadikan token boleh dipercayai: ia membuktikan muatan tidak diubah dan dikeluarkan oleh seseorang yang memegang rahsia.

Alat ini menandatangani dengan HS256, iaitu HMAC menggunakan SHA-256, algoritma JWT simetri yang paling biasa. Rahsia yang sama menandatangani dan mengesahkan token, jadi ia mesti dirahsiakan pada pelayan.

Untuk HS256, gunakan rahsia yang panjang dan rawak. Rahsia yang pendek atau mudah diteka menjejaskan keseluruhan token, kerana sesiapa yang menekanya boleh mencipta token sah mereka sendiri.

Satu perkara penting tentang JWT: muatan hanya dikod, bukan disulitkan. Sesiapa yang mempunyai token boleh membaca tuntutannya dengan menyahkod Base64, jadi jangan sekali-kali meletakkan kata laluan atau data sensitif dalam JWT. Tandatangan menghentikan pengubahsuaian, ia tidak memberikan kerahsiaan.

Kerana penandatanganan berlaku secara setempat, rahsia dan muatan anda tidak pernah meninggalkan peranti anda. Walau bagaimanapun, elakkan menampal rahsia pengeluaran sebenar pada komputer yang dikongsi atau awam.