Dekoder JWT

Witaj w narzędziu Dekoder JWT, potężnym narzędziu online dla programistów do błyskawicznego dekodowania i inspekcji tokenów JSON Web Token (JWT). Niezależnie od tego, czy debugujesz problemy z uwierzytelnianiem, weryfikujesz roszczenia w tokenie, czy uczysz się o strukturze JWT, to narzędzie zapewnia przejrzystą, oznaczoną kolorami wizualizację wszystkich komponentów tokena bez wysyłania jakichkolwiek danych na zewnętrzne serwery.

Co to jest JSON Web Token (JWT)?

JSON Web Token (JWT, wymawiane "jot") to otwarty standard (RFC 7519), który definiuje zwartą i autonomiczną metodę bezpiecznego przesyłania informacji między stronami jako obiekt JSON. Tokeny JWT są szeroko stosowane do:

• Uwierzytelniania: Po zalogowaniu użytkownika, każde kolejne żądanie zawiera JWT, umożliwiając dostęp do tras, usług i zasobów dozwolonych dla tego tokena.
• Wymiany informacji: JWT mogą bezpiecznie przesyłać informacje między stronami, ponieważ mogą być podpisane przy użyciu kluczy tajnych (HMAC) lub par kluczy publicznych/prywatnych (RSA, ECDSA).
• Autoryzacji: Serwery mogą weryfikować roszczenia w tokenie, aby określić uprawnienia użytkownika bez odpytywania bazy danych przy każdym żądaniu.

Wyjaśnienie struktury JWT

JWT składa się z trzech części oddzielonych kropkami (.):

1. Nagłówek (Czerwony)

Nagłówek zazwyczaj zawiera dwie informacje:

• alg: Użyty algorytm podpisu (np. HS256, RS256, ES256)
• typ: Typ tokena, który zawsze wynosi "JWT"

2. Ładunek / Payload (Fioletowy)

Ładunek zawiera roszczenia (claims) – stwierdzenia o użytkowniku i dodatkowe metadane. Istnieją trzy rodzaje roszczeń:

• Roszczenia zarejestrowane: Predefiniowane roszczenia, takie jak iss (wydawca), exp (wygaśnięcie), sub (podmiot), aud (odbiorca)
• Roszczenia publiczne: Niestandardowe roszczenia zarejestrowane w rejestrze IANA JSON Web Token lub zdefiniowane jako URI
• Roszczenia prywatne: Niestandardowe roszczenia uzgodnione między stronami (np. user_id, role)

3. Sygnatura (Niebieski)

Sygnatura jest tworzona przez połączenie zakodowanego nagłówka, zakodowanego ładunku, klucza tajnego oraz algorytmu określonego w nagłówku. Gwarantuje ona, że token nie został zmieniony.

Referencja popularnych roszczeń JWT

Algorytmy podpisywania JWT

Algorytmy symetryczne (HMAC)

• HS256: HMAC przy użyciu SHA-256 - ten sam klucz tajny do podpisywania i weryfikacji
• HS384: HMAC przy użyciu SHA-384
• HS512: HMAC przy użyciu SHA-512

Algorytmy asymetryczne (RSA/ECDSA)

• RS256: Podpis RSA z SHA-256 - klucz prywatny podpisuje, klucz publiczny weryfikuje
• RS384: Podpis RSA z SHA-384
• RS512: Podpis RSA z SHA-512
• ES256: ECDSA przy użyciu krzywej P-256 i SHA-256
• ES384: ECDSA przy użyciu krzywej P-384 i SHA-384
• ES512: ECDSA przy użyciu krzywej P-521 i SHA-512

Kwestie bezpieczeństwa

Dekodowanie a weryfikacja

Ważne: To narzędzie dekoduje JWT, ale ich nie weryfikuje. Dekodowanie po prostu ujawnia treść zakodowaną w formacie Base64URL, podczas gdy weryfikacja wymaga klucza tajnego do sprawdzenia sygnatury. Nigdy nie ufaj zdekodowanym danym bez weryfikacji sygnatury po stronie serwera.

Najlepsze praktyki

• Zawsze weryfikuj sygnatury po stronie serwera przed zaufaniem jakimkolwiek roszczeniom
• Używaj krótkich czasów wygaśnięcia (exp) - zazwyczaj od 15 minut do 1 godziny dla tokenów dostępu
• Nie przechowuj wrażliwych danych w ładunku – jest on zakodowany, a nie zaszyfrowany
• Używaj HTTPS, aby zapobiec przechwyceniu tokena podczas transmisji
• Sprawdzaj roszczenie odbiorcy (aud), aby zapobiec niewłaściwemu użyciu tokena
• Używaj algorytmów asymetrycznych (RS256, ES256) w systemach rozproszonych, gdzie wiele usług musi weryfikować tokeny

Prywatność i bezpieczeństwo

Ten dekoder JWT działa w całości w Twojej przeglądarce:

• Brak transmisji na serwer: Twój JWT nigdy nie jest wysyłany na żaden serwer
• Przetwarzanie po stronie klienta: Całe dekodowanie odbywa się w JavaScript w Twojej przeglądarce
• Brak przechowywania danych: Nie przechowujemy, nie logujemy ani nie śledzimy Twoich tokenów
• Logika Open Source: Możesz sprawdzić logikę dekodowania w narzędziach programistycznych swojej przeglądarki

Często zadawane pytania

Co to jest JWT (JSON Web Token)?

JSON Web Token (JWT) to otwarty standard (RFC 7519) do bezpiecznego przesyłania informacji między stronami jako obiekt JSON. Tokeny JWT są powszechnie używane do uwierzytelniania i autoryzacji w aplikacjach internetowych. JWT składa się z trzech części: Nagłówek (algorytm i typ tokena), Ładunek (roszczenia/dane) i Sygnatura (weryfikacja).

Czy dekodowanie JWT w przeglądarce jest bezpieczne?

Tak, dekodowanie JWT w przeglądarce jest bezpieczne, ponieważ nagłówek i ładunek są po prostu zakodowane w Base64URL, a nie zaszyfrowane. Pamiętaj jednak, że dekodowanie NIE weryfikuje sygnatury tokena. Nigdy nie ufaj zdekodowanym danym bez właściwej weryfikacji sygnatury po stronie serwera. To narzędzie dekoduje tokeny w całości w przeglądarce – żadne dane nie są wysyłane na serwer.

Co oznaczają poszczególne części JWT?

JWT posiada trzy części oddzielone kropkami: 1) Nagłówek – zawiera algorytm (alg) i typ tokena (typ), zazwyczaj HS256 lub RS256. 2) Ładunek – zawiera roszczenia, czyli stwierdzenia o użytkowniku i dane takie jak czas wygaśnięcia (exp), wystawienia (iat), podmiot (sub) itp. 3) Sygnatura – utworzona przez podpisanie nagłówka i ładunku kluczem tajnym, służy do weryfikacji integralności tokena.

Dlaczego nie mogę zweryfikować sygnatury tym narzędziem?

Weryfikacja sygnatury wymaga klucza tajnego (dla algorytmów symetrycznych jak HS256) lub klucza publicznego (dla algorytmów asymetrycznych jak RS256). Ponieważ to narzędzie działa lokalnie w przeglądarce dla zachowania prywatności, nie ma dostępu do kluczy tajnych Twojego serwera. Aby weryfikować sygnatury, użyj bibliotek serwerowych, takich jak jsonwebtoken (Node.js) lub PyJWT (Python).

Jakie są typowe roszczenia JWT?

Powszechne zarejestrowane roszczenia to: iss (wydawca), sub (podmiot), aud (odbiorca), exp (wygaśnięcie), nbf (nie przed), iat (wystawiono o) oraz jti (ID JWT). Roszczenia niestandardowe mogą zawierać user_id, email, role, uprawnienia lub dowolne dane aplikacji. Roszczenia czasowe to znaczniki czasu Unix.

Dodatkowe zasoby

• JWT.io - Oficjalne wprowadzenie do JWT
• RFC 7519 - Specyfikacja JSON Web Token
• Auth0 - Dokumentacja JSON Web Tokens