JWT डिकोडर: टोकन के अंदर क्या है, और क्या नहीं है

तीन भाग

• हेडर - हस्ताक्षर एल्गोरिथ्म (`alg`) और टोकन प्रकार (`typ`), उदाहरण के लिए HS256।
• पेलोड - दावे: टोकन किसके बारे में है, इसे कब जारी किया गया था और इसकी समय सीमा कब समाप्त होगी।
• हस्ताक्षर - जारीकर्ता की कुंजी के साथ पहले दो खंडों पर गणना की जाती है, यही कारण है कि एक डिकोडर इसे दिखाता है लेकिन इसकी जांच नहीं कर सकता है।

                eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 . eyJzdWIiOiIxMjMiLCJleHAiOjE3NjAwMDAwMDB9 . signature
           header                            payload                       signature
              

वे दावे जो अधिकांश विफलताओं की व्याख्या करते हैं

• `exp` (समाप्ति) - 401 का सबसे आम कारण। दो मिनट पहले समाप्त होने वाला टोकन किसी भी अन्य चीज़ की जांच करने से पहले अस्वीकार कर दिया जाता है।
• `nbf` (पहले नहीं) - दर्पण छवि: इसकी वैधता विंडो से पहले उपयोग किया गया एक टोकन अस्वीकार कर दिया गया है।
• `iat` (पर जारी) - यह पता लगाने के लिए उपयोगी है कि सत्र कितना पुराना है, और उन घड़ियों का पता लगाने के लिए जो असहमत हैं।
• `aud` (दर्शक) और `iss` (जारीकर्ता) - यहां बेमेल का मतलब है कि टोकन वैध है लेकिन एक अलग सेवा के लिए जारी किया गया था, जो भ्रमित करने वाले तरीकों से विफल हो जाता है।

यूनिक्स युग के बाद से समय के दावे यूटीसी सेकंड हैं। यदि कोई टोकन वैध दिखता है लेकिन बहुत जल्दी या देर से समाप्त होता है, तो घड़ी की समस्या या मिलीसेकंड ले जाने वाले पेलोड की जांच करें जहां सेकंड अपेक्षित थे।

आपको कभी भी `alg` पर आँख बंद करके भरोसा क्यों नहीं करना चाहिए

दो हमले काफी पुराने हैं और प्रसिद्ध हैं और अब भी जंगल में दिखाई देते हैं। `none` एल्गोरिथम सत्यापनकर्ता को बताता है कि कोई हस्ताक्षर नहीं है; एक सर्वर जो अपने स्वयं के अपेक्षित एल्गोरिदम को लागू करने के बजाय हेडर को पढ़ता है, उसे स्वीकार करता है। और आरएसए/एचएस भ्रम में, एक हमलावर सार्वजनिक कुंजी के साथ एचएमएसी रहस्य के रूप में हस्ताक्षर करता है, एक सर्वर को धोखा देता है जो दोनों परिवारों को स्वीकार करता है। दोनों मामलों में बचाव सत्यापनकर्ता में रहता है, डिकोडर में नहीं: अपेक्षित एल्गोरिदम सर्वर-साइड को पिन करें और इसे कभी भी टोकन से प्राप्त न करें।

हमेशा स्थानीय स्तर पर डिकोड करें

JWT एक क्रेडेंशियल है: जो कोई भी इसे धारण करता है वह इसके समाप्त होने तक उपयोगकर्ता के रूप में कार्य कर सकता है। एक वास्तविक को एक वेबसाइट में चिपकाना जो इसे सर्वर पर पोस्ट करता है, शून्य लाभ के लिए एक लाइव सत्र सौंपता है, क्योंकि डिकोडिंग बेस 64url अंकगणित है जिसे कोई भी ब्राउज़र माइक्रोसेकंड में कर सकता है। YamlBox JWT डिकोडर पृष्ठ में टोकन को पार्स करता है, टाइमस्टैम्प दावों को पढ़ने योग्य UTC तिथियों के रूप में दिखाता है, और अक्षम नेटवर्क के साथ काम करता रहता है - उत्पादन टोकन पर उपयोग करने लायक एकमात्र प्रकार का डिकोडर।

एक डिबगिंग रूटीन जो काम करता है

1. पहले `exp` को डिकोड करें और पढ़ें - सभी "अमान्य टोकन" रिपोर्टों में से आधी यहीं समाप्त होती हैं।
2. API क्या अपेक्षा करता है उसके विरुद्ध `aud` और `iss` की जाँच करें, फिर घड़ी की गड़बड़ी के लिए `nbf` की जाँच करें।
3. डिकोड किए गए दावों की तुलना भूमिकाओं या दायरे के बारे में आपके कोड की धारणा से करें।
4. यदि दावे सही दिखते हैं और यह अभी भी विफल रहता है, तो समस्या सत्यापन है - गलत कुंजी, घुमाया गया रहस्य, या एल्गोरिदम बेमेल।