Díchódóir JWT

Conas JWT a dhíchódú

1. Greamaigh an comhartha isteach i JSON Web Token. Oibríonn luach iomlán Authorization: Bearer … freisin: baintear an réimír Bearer agus aon bhristeacha líne.
2. Déantar an comhartha a dhíchódú agus tú ag clóscríobh (nó cliceáil Díchódaigh). Taispeántar an Ceanntásc agus an Ábhar mar JSON formáidithe, agus cnaipe Cóipeáil ag gach ceann.
3. Léigh tábla na Éilimh ama: taispeántar exp, nbf agus iat lena luach amh, an dáta i do chrios ama, am coibhneasta agus stádas amhail As feidhm nó Gan bheith bailí fós.
4. Seiceáil na rabhaidh os cionn na dtorthaí, mar shampla nuair is é none an luach ar alg nó nuair is cosúil gur milleasoicindí atá i ndáta.
5. Chun an síniú a sheiceáil, líon isteach an eochair faoi Fíoraigh an síniú agus cliceáil Fíoraigh an síniú.

Ní hionann díchódú agus fíorú

Is éard atá i JWT ná trí chuid Base64url scartha le poncanna: header.payload.signature. Níl an ceanntásc ná an t-ábhar criptithe, níl iontu ach códaithe, agus mar sin is féidir le duine ar bith a bhfuil an comhartha aige iad a léamh, agus is féidir leis an uirlis seo aon chomhartha a dhíchódú gan eochair. Ciallaíonn sé sin freisin nach gcruthaíonn ábhar díchódaithe aon rud: d’fhéadfadh duine é a chur in eagar. Ní thaispeánann ach síniú bailí gur eisigh sealbhóir na heochrach an comhartha agus nár athraíodh é ó shin. Dá bhrí sin deir an líne stádais “Díchódaithe (síniú gan fíorú)” go dtí go bhfíoraíonn tú é.

Is JWE (JWT criptithe) é comhartha a bhfuil cúig chuid aige; ní féidir a ábhar a léamh gan an eochair dhíchriptithe, agus insíonn an uirlis duit é sin.

An síniú a fhíorú

• HS256, HS384, HS512 (HMAC): cuir isteach an Rún comhroinnte. Úsáid Formáid an rúin chun a rá an téacs simplí (UTF-8) é nó Base64/Base64url, mar stórálann roinnt soláthraithe rúin i Base64. Is féidir leat JWK de chineál oct a ghreamú freisin. Má tá an rún níos giorra ná aschur an haise (32 bheart do HS256), tugann an uirlis faoi deara go bhfuil sé faoi bhun íosmhéid RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 agus EdDSA: greamaigh an Eochair phoiblí (PEM nó JWK). Is iad na bloic PEM a nglactar leo ná PUBLIC KEY, RSA PUBLIC KEY agus CERTIFICATE (léitear an eochair ón deimhniú X.509). Oibríonn JWK nó Tacar JWK iomlán freisin: úsáidtear an eochair a mheaitseálann kid an cheanntásc. Diúltaítear d’eochracha príobháideacha; ní bhíonn ceann ag teastáil ó fhíoraitheoir riamh. Tacaíonn EdDSA le Ed25519 i mbrabhsálaithe a chuireann Web Crypto i bhfeidhm air.

Úsáideann an fíorú API Web Crypto an bhrabhsálaí. Ciallaíonn toradh “Síniú neamhbhailí” go bhfuil an eochair mícheart nó gur athraíodh an comhartha. Tabhair faoi deara gur ón gceanntásc a thógtar an algartam: ní mór d’fhíor-fhreastalaí an algartam ionchasach a shocrú ina chumraíocht féin, nó is féidir le hionsaitheoir é a roghnú.

Nótaí slándála

• Is dintiúir iad comharthaí. De ghnáth is féidir le duine ar bith a bhfuil comhartha rochtana bailí aige gníomhú mar a úinéir go dtí go rachaidh sé as feidhm. Déanann an uirlis seo gach rud a dhíchódú agus a fhíorú i do bhrabhsálaí agus ní sheolann sí an comhartha ná an eochair chuig áit ar bith. Seachain fós comharthaí táirgthe a ghreamú in uirlisí nach féidir leat iad a iniúchadh.
• Ciallaíonn alg: none go bhfuil an comhartha gan síniú. Is féidir le duine ar bith ceann a fhabhrú, agus ní mór d’fhreastalaí é a dhiúltú. Taispeánann an uirlis rabhadh agus diúltaíonn sí comhartha den sórt sin a “fhíorú”.
• Úsáideann na seiceálacha cloig anseo clog do ríomhaire gan aon fhad ama breise; is minic a cheadaíonn freastalaithe nóiméad nó dhó de neamhréir cloig.
• Is soicindí ón 1 Eanáir 1970 UTC iad dátaí JWT (NumericDate). Is dócha gur milleasoicindí atá i luach 13 dhigit, rud a bhíonn ina fhabht choitianta.