JWT
JWT aracı, özel anahtar olmadan yapıyı, claim'leri ve güvenlik özelliklerini inceleyebilmeniz için JSON Web Token'ların kodunu çözer ve içeriğini gösterir.
Aracı kullanma
- Girdi alanına JWT yapıştırın. Araç, noktalarla ayrılmış standart üç parçalı biçimi kabul eder.
- Araç başlık ve veri yükü kısımlarını otomatik ayırıp Base64 ile çözer.
- Aşağıdaki üç bölümde çözülmüş çıktıyı inceleyin.
İnceleme için anahtar verisi gerekmez. İmza doğrulama ayrı bir işlemdir.
Çözülmüş bölümler
Başlık
Algoritma (alg) ve anahtar kimliği (kid) alanlarını gösterir. Algoritma uyarıları burada görünür:
| Koşul | Uyarı düzeyi |
|---|---|
alg: none | Kritik — belirtecin imzası yok |
alg: HS256 | Bilgilendirme — simetrik; zayıf gizli anahtarla kaba kuvvet uygulanabilir |
alg: RS256 veya ES256 | Uyarı yok |
Veri yükü
Tüm claim'leri değerleri ve çıkarılan türleriyle gösterir. Çözülen standart claim'ler:
| Claim | Anlamı |
|---|---|
iss | Düzenleyen |
sub | Özne (genellikle kullanıcı kimliği) |
aud | Hedef kitle |
exp | Son kullanma zamanı |
nbf | Bu zamandan önce geçerli değil |
iat | Düzenlenme zamanı |
jti | JWT kimliği (benzersiz belirteç tanımlayıcısı) |
Özel claim'ler standart kümenin altında görünür.
Süre kontrolü
Belirteç exp claim'i içeriyorsa araç bunu o anki zamanla karşılaştırır ve şu durumlardan birini gösterir:
- Geçerli — belirtecin süresi dolmamış.
- Süresi doldu — belirtecin son kullanma zamanı geçmiş; geçen süre gösterilir.
- Süre sonu yok — belirteç
expclaim'i içermiyor.
İmza
Ham Base64url kodlu imzayı gösterir. Anahtar sağlamadığınız sürece araç doğrulama denemesi yapmaz; bölüm referans için ve imzanın varlığını doğrulamak amacıyla gösterilir.
Nelere bakılmalı?
- Bazı kütüphaneler
alg: nonebelirteçlerini doğrulama olmadan kabul eder. Hedef uygulamanın kabul edip etmediğini test edin. - Uzun ömürlü belirteçler (
exp,iat'tan günler veya yıllar sonra) uygulamanın belirteçleri yenilemediğine işaret eder. - Şifrelenmemiş veri yükü claim'lerinde saklanan hassas veriler (kişisel veriler, iç kimlikler, rol bayrakları) belirteci elinde bulunduran herkesçe okunabilir.
jtiiçermeyen belirteçler tek tek iptal edilemez.