JWT-generator

En JWT-generator som bygger og signerer JSON Web Tokens fra nyttelasten og hemmeligheten din, helt i nettleseren din ved hjelp av Web Crypto-API-et. Den er et par med JWT-dekoderen, som inspiserer et eksisterende token.

En JWT har tre deler adskilt av punktum: et hode, en nyttelast med claims, og en signatur, hver Base64url-kodet. Signaturen er det som gjør tokenet pålitelig: den beviser at nyttelasten ikke er endret og at den ble utstedt av noen som holder hemmeligheten.

Dette verktøyet signerer med HS256, det vil si HMAC ved bruk av SHA-256, den vanligste symmetriske JWT-algoritmen. Den samme hemmeligheten både signerer og verifiserer tokenet, så den må holdes privat på serveren.

For HS256, bruk en lang, tilfeldig hemmelighet. En kort eller gjettbar hemmelighet undergraver hele tokenet, siden hvem som helst som gjetter den kan lage gyldige tokens selv.

Et viktig poeng om JWT-er: nyttelasten er bare kodet, ikke kryptert. Hvem som helst med tokenet kan lese claimsene ved å Base64-dekode dem, så legg aldri passord eller sensitive data i en JWT. Signaturen stopper manipulering, den gir ikke hemmelighold.

Fordi signeringen skjer lokalt, forlater hemmeligheten og nyttelasten din aldri enheten din. Likevel bør du unngå å lime inn ekte produksjonshemmeligheter på en delt eller offentlig datamaskin.