JWT Decoder

מה זה JWT decoder?

JWT decoder מפצל JSON Web Token לשלושת החלקים שלו, header, payload וחתימה, ומפענח את שני הראשונים מ-Base64URL כדי שתוכלו לקרוא אותם כ-JSON. מפתחים משתמשים בו כל הזמן כשהם מנפים באגים בתהליכי התחברות, בהרשאות, ב-claims של סשן ובבעיות של תפוגת טוקנים.

לפענח JWT זה *לא* אותו דבר כמו לסמוך עליו. ה-header וה-payload קריאים מעצם התכנון: הם רק מקודדים ב-Base64URL, לא מוצפנים. האימות הוא מה שבודק אם הטוקן נחתם על ידי הגורם הצפוי ואם אף אחד לא שינה אותו.

JWT נראה כמו header.payload.signature. כל חלק מקודד ב-Base64URL, והחלקים מופרדים בנקודות. ה-header אומר באיזה אלגוריתם חתימה משתמשים, ה-payload נושא את ה-claims (מי המשתמש, מתי הטוקן פג, מה מותר לו לעשות), והחתימה מאפשרת לשרת להוכיח שהטוקן לא שונה.

מה תלמדו תוך כדי פענוח JWT

• ל-JWT יש שלושה חלקים מקודדים ב-Base64URL שמופרדים בנקודות: header.payload.signature.
• Claims נפוצים כמו sub, role, iat, nbf ו-exp מתארים זהות, הרשאות, זמן הנפקה וזמן תפוגה.
• כל אחד יכול לערוך payload מפוענח, ורק החתימה מאפשרת לשרת לזהות שינוי.
• האלגוריתמים שונים: HS256 משתמש בסוד משותף, ו-RS256 ו-ES256 משתמשים בזוגות של מפתח ציבורי ופרטי. השדה alg ב-header אומר לכם באיזה מהם השתמשו.

איך לפענח JWT שלב אחר שלב

1. 1

   הדביקו את הטוקן המלא

   הדביקו את ה-JWT בתיבת הקלט. הוא אמור להיראות כמו xxxx.yyyy.zzzz: שלושה חלקים מקודדים ב-Base64URL שמחוברים בנקודות.

2. 2

   קראו את ה-header

   ה-header אומר לכם מה אלגוריתם החתימה (alg) ומה סוג הטוקן. שימו לב ל-"alg": "none": זה אומר שהטוקן לא חתום ואי אפשר לסמוך עליו.

3. 3

   קראו את ה-claims ב-payload

   ה-payload הוא ה-JSON עם כל ה-claims. חפשו את sub (מזהה המשתמש), exp (תפוגה), iat (זמן הנפקה), וכל claim מותאם אישית שהאפליקציה שלכם מוסיפה, כמו role או tenant.

4. 4

   בדקו תפוגה

   המירו את חותמת הזמן של Unix ב-exp לתאריך. אם הוא בעבר, הטוקן פג וכל API שמתנהג כמו שצריך ידחה אותו.

5. 5

   אמתו את החתימה (אופציונלי)

   אם יש לכם את הסוד או את המפתח הציבורי, הדביקו אותו בכלי האימות כדי לוודא שהחתימה תקינה. אפשר לסמוך על תוכן הטוקן רק כשהחתימה עוברת את הבדיקה.

Claims סטנדרטיים ב-JWT

אלה ה-claims הרשומים שמוגדרים במפרט של JWT (RFC 7519). כל אפליקציה יכולה להוסיף לצידם claims מותאמים אישית משלה.

דוגמאות JWT לנסות

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

טעויות JWT נפוצות

• לשים סיסמאות, סודות או מידע אישי רגיש ב-payload. JWT קריא, לא מוצפן.
• לפענח טוקן ולהניח שהוא תקף בלי לבדוק את החתימה.
• לבלבל בין הקריאות של Base64URL להצפנה: ה-payload של JWT קל לקריאה בכוונה.
• לשמור JWT ב-localStorage בלי לחשוב על ההשלכות של XSS, ואז לתת להם זמני תפוגה ארוכים מאוד.
• לא לבדוק את ה-claim aud (קהל יעד): טוקן שהונפק לשירות אחד יכול לשמש נגד שירות אחר אם הצד המקבל לא בודק.

שאלות נפוצות על JWT