JWT وحدة فك التشفير: ما هو موجود داخل الرمز المميز، وما هو غير

الأجزاء الثلاثة

• الرأس - خوارزمية التوقيع (`alg`) ونوع الرمز المميز (`typ`)، على سبيل المثال HS256.
• الحمولة - المطالبات: من هو الرمز المميز ومتى تم إصداره ومتى تنتهي صلاحيته.
• التوقيع - يتم حسابه على الجزأين الأولين باستخدام مفتاح المُصدر، ولهذا السبب يظهره جهاز فك التشفير ولكن لا يمكنه التحقق منه.

                eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 . eyJzdWIiOiIxMjMiLCJleHAiOjE3NjAwMDAwMDB9 . signature
           header                            payload                       signature
              

الادعاءات التي تفسر معظم حالات الفشل

• `exp` (انتهاء الصلاحية) - السبب الوحيد الأكثر شيوعًا للرقم 401. يتم رفض الرمز المميز الذي انتهت صلاحيته قبل دقيقتين قبل فحص أي شيء آخر.
• `nbf` (ليس قبل) — الصورة المعكوسة: الرمز المميز المستخدم قبل رفض نافذة صلاحيته.
• `iat` (صدر في) — مفيد في معرفة عمر الجلسة، وفي اكتشاف الساعات التي لا تختلف.
• `aud` (الجمهور) و `iss` (المصدر) - تعني عدم التطابق هنا أن الرمز المميز صالح ولكن تم إصداره لخدمة مختلفة، والتي تفشل بطرق مربكة.

مطالبات الوقت هي ثواني UTC منذ عصر Unix. إذا بدا الرمز صالحًا ولكن تنتهي صلاحيته مبكرًا أو متأخرًا جدًا، فتحقق من وجود مشكلة في الساعة أو حمولة تحمل ميلي ثانية حيث كان من المتوقع الثواني.

لماذا لا يجب أن تثق أبدا`alg`0بشكل أعمى

هجومان قديمان بما يكفي ليكونا مشهورين وما زالا يظهران في البرية. ال`none`تخبر الخوارزمية المدقق بأنه لا يوجد توقيع على الإطلاق؛ الخادم الذي يقرأ الرأس بدلاً من فرض الخوارزمية المتوقعة الخاصة به يقبله. وفي حالة الخلط بين RSA/HS، يقوم المهاجم بالتوقيع باستخدام المفتاح العام باعتباره سر HMAC، مما يخدع خادمًا يقبل كلا العائلتين.يوجد الدفاع في كلتا الحالتين في أداة التحقق، وليس في وحدة فك التشفير: قم بتثبيت جانب خادم الخوارزمية المتوقعة ولا تستمدها أبدًا من الرمز المميز نفسه.

فك التشفير محليًا، دائمًا

JWT عبارة عن بيانات اعتماد: يمكن لأي شخص يحملها أن يعمل كمستخدم حتى تنتهي صلاحيتها. يؤدي لصق ملف حقيقي في موقع ويب ينشره على خادم إلى تسليم جلسة مباشرة دون أي فائدة، نظرًا لأن فك التشفير هو عملية حسابية base64url يمكن لأي متصفح القيام بها في أجزاء من الثانية. يقوم جهاز فك ترميز YamlBox JWT بتوزيع الرمز المميز في الصفحة، ويعرض مطالبات الطابع الزمني كتواريخ UTC قابلة للقراءة، ويستمر في العمل مع تعطيل الشبكة - وهو النوع الوحيد من وحدات فك التشفير التي تستحق الاستخدام في رمز الإنتاج.

روتين التصحيح الذي يعمل

1. قم بفك تشفير وقراءة `exp` أولاً - نصف جميع تقارير "الرموز المميزة غير الصالحة" تنتهي هنا.
2. تحقق من `aud` و`iss` مقابل ما تتوقعه واجهة برمجة التطبيقات (API)، ثم `nbf` للتأكد من انحراف الساعة.
3. قارن المطالبات التي تم فك تشفيرها مع ما تفترضه التعليمات البرمجية الخاصة بك حول الأدوار أو النطاقات.
4. إذا كانت المطالبات تبدو صحيحة وما زالت تفشل، فالمشكلة تكمن في التحقق - مفتاح خاطئ، أو سر تم تدويره، أو عدم تطابق الخوارزمية.