Stvoriti potpisani JSON Web Token (JWT)

Što je JWT Builder?

JWT Builder je online alat koji proizvodi potpisani JSON web token (JWT) iz JSON korisnog sadržaja i HMAC tajne. Namijenjen je programerima koji trebaju za brzo generiranje testnog tokena za provjeru ponašanja API-ja, simulacija sesije autentificirani u Postmanu ili reproducirati grešku povezanu s istekom ili opsegom tokena.

Za razliku od našeg JWT dekodera, koji samo čita token postojeći, JWT Builder čini kompletan token: gradi zaglavlje, kodira korisni teret, izračunava HMAC potpis i sastavlja sve u kompaktnom formatu header.payload.signature očekuju sve JWT knjižnice na tržištu.

Zašto generirati JWT?

JWT builder nije namijenjen za izdavanje proizvodnih tokena. To je prije svega alat za razvoj i testiranje. Ovo su najčešći scenariji:

• Integracijski testovi: proizvedite predvidljive JWT-ove za pokretanje E2E testova koji pogađaju zaštićene krajnje točke bez oslanjanja na stvarnog pružatelja identiteta.
• API Mocks: Privremeno zamijenite poziv IdP-u s potpisanim JWT-om lokalno s istom testnom tajnom.
• Lokalni razvoj: povežite se s vlastitom pozadinom ručnim generiranjem a token koji sadrži željene zahtjeve, bez prolaska kroz cijeli tok OAuth2.
• Demonstracije: ilustrirajte put autentifikacije ili tijek rada na temelju dopuštenja bez stvarnog IdP-a pri ruci.
• Reprodukcija bugova: krivotvorite istekli token, token s Neispravan aud, token bez određenih tvrdnji, za testiranje putova pogreške vaš API.
• Uklanjanje pogrešaka prilagođenog parsera: ubacite JWT-ove posebno konstruirane za testirajte domaći parser.

Sastav JWT-a

Potpisani JWT sastoji se od tri segmenta odvojena točkom, a svaki je kodiran u Base64URL (varijanta Base64 bez ispune i s -/_ na umjesto +//):

• Zaglavlje: JSON objekt koji opisuje algoritam potpisa i vrstu tokena, na primjer {"alg":"HS256","typ":"JWT"}. JWT Builder ga automatski generira iz algoritma koji odaberete.
• Korisni teret: proizvoljni JSON objekt koji sadrži zahtjeve tokena (predmet, dozvole, datumi isteka). Ovo je dio koji vi dajete.
• Potpis: HMAC-SHA izračunat ulančavanjem base64url(zaglavlje) + "." + base64url(payload) s vašim tajnim ključem. Ona je ta koja jamči cjelovitost tokena.

Detaljno o slučajevima korištenja

• API mock za E2E testiranje: vaš Cypress ili Playwright paket mora pozivati API koji zahtijeva Autorizaciju: Nositelj .... Umjesto orkestriranja potpune prijave na svaki test, u hodu potpisujemo JWT s dijeljenom tajnom i ubacujemo je u zaglavlje.
• SSO Demo: predstavite put sjedinjene provjere autentičnosti bez ovisnosti mrežnog IdP-a.
• Test Fixture: generirajte deterministički JWT iz korisnog opterećenja poznatog služiti kao stabilna jedinica u jediničnim testovima.
• Dijagnostika prilagođenog parsera: testiranje domaćeg JWT parsera s tokenima namjerno minimalan ili namjerno bizaran (tvrdnje koje nedostaju, neočekivane vrste).
• Učenje: konkretno shvatite kako je ugrađen JWT modificiranje nosivosti i promatranje promjene potpisa.

Podržani algoritmi: HS256, HS384, HS512

Naš alat podržava tri standardna algoritma HMAC JWT specifikacije (RFC 7519):

• HS256: HMAC sa SHA-256. Potpis od 32 bajta. Najčešće korišten u praksi, dobar kompromis između brzine i kriptografske čvrstoće. Preporučeno prema zadanim postavkama.
• HS384: HMAC sa SHA-384. 48-bajtni potpis. Prilagođeno kontekstima koji zahtijevaju veću sigurnosnu marginu.
• HS512: HMAC sa SHA-512. Potpis od 64 bajta. Najrobusniji, po cijeni malo većeg žetona.

HMAC ili RSA?

Algoritmi HS* su simetrični: za potpisivanje i provjeru koristi se isti ključ. Brzo je i jednostavno, ali znači da je to i svaka usluga koja može potvrditi token sposoban ih emitirati. Ako trebate razdvojiti ove dvije uloge (jedan izdavatelj, više potrošači), okrenuti se algoritmima RS256/RS384/RS512 (RSA, asimetrični), što možete provjeriti s našim JWT verifikatorom.

Sigurnost: zaštita vaše tajne

Sigurnost JWT-a potpisanog u HMAC-u u potpunosti se oslanja na povjerljivost tajne. Neka osnovna pravila:

• Koristite dugačku, nasumično odabranu tajnu. RFC 7518 preporučuje barem veličinu izlaza algoritma (32 bajta za HS256, 48 za HS384, 64 za HS512). Lozinka čovjeka poput azerty123 trivijalno je brute force moguće napasti izvan mreže.
• Nikada ne potpisujte JWT na strani klijenta. Tajna bi se našla u šifri JavaScript distribuiran pregledniku, izložen svakom korisniku. Potpis uvijek mora ostati strana poslužitelja.
• Pohranite tajnu u varijablu okruženja (npr. JWT_SECRET), nikada u Git repozitoriju. Razmislite o korištenju trezora kao što je HashiCorp Vault, AWS Secrets Manager ili Symfony Secrets ovisno o vašem skupu.
• Redovito otkrivajte tajnu (rotacija ključeva), posebno nakon bilo kakvog incidenta ili odlazak osobe koja je imala pristup konfiguraciji.
• JWT Builder je za testiranje i učenje. Za proizvodnju, koristite JWT biblioteku okvira (lcobucci/jwt, firebase/php-jwt, jose-php).

Dobra praksa potraživanja

Korisni teret je besplatni JSON objekt, ali RFC 7519 definira skup registriranih zahtjeva koje JWT knjižnice znaju interpretirati. Uključivanje pravih zahtjeva čini vaš token prenosivim i izbjegava suptilne greške:

• iss (izdavatelj): identifikator izdavatelja, na primjer "https://api.example.com".
• sub (subject): identifikator dotične osobe ili entiteta, često ID korisnik.
• aud (publika): kome je token namijenjen, kako bi se spriječilo ponovno korištenje token na drugom API-ju.
• exp (vrijeme isteka): Unix vremenska oznaka nakon koje token više nije valjan. Uvijek uključi, čak i za testni token: token bez isteka je a lošu naviku koju je kasnije teško ispraviti.
• nbf (ne prije): vremenska oznaka prije koje token još nije valjan. Korisno za prethodno izdavanje tokena koji se kasnije može aktivirati.
• iat (izdano u): vremenska oznaka izdavanja, korisna za bilježenje i opoziv.
• jti (JWT ID): jedinstveni identifikator tokena, bitan za idempotencija i implementirati popis opoziva.

Tipični primjer korisnog opterećenja

{
  "iss": "https://api.example.com",
  "sub": "korisnik-12345",
  "aud": "mobilna aplikacija",
  "iat": 1714723200,
  "exp": 1714726800,
  "jti": "9f2d6b1e-2c4a-4f8a-9c3a-87a2b8a4b7e1",
  "opseg": "čitanje:profil pisanje:profil"
}

Kako koristiti alat

1. Unesite sadržaj kao važeći JSON. To je objekt, pa počinje s { i završava s }.
2. Navedite HMAC tajnu. Odaberite dugi, nasumični niz za proizvodne tokene.
3. Odaberite algoritam: HS256 prema zadanim postavkama, HS384 ili HS512 prema vašim potrebama.
4. Kliknite stvori. Pojavljuje se potpisani JWT, spreman za lijepljenje u zaglavlje Autorizacija: Nositelj ....
5. Tada možete potvrditi token s istom tajnom za potvrdite dosljednost povratnog putovanja ili dekodirajte za ponovno čitanje njegov sadržaj.

Često postavljana pitanja

Primjer zahtjeva

curl -X POST https://cdrn.fr/api/v1/tools/jwt-builder/execute \
  -H "Content-Type: application/json" \
  -d '{"payload":"...","secret":"...","algorithm":"HS256"}'

Ulazna shema

Krajnje točke

• GET https://cdrn.fr/api/v1/tools - ispisuje sve dostupne alate
• GET https://cdrn.fr/api/v1/tools/jwt-builder - dohvaća shemu ovog alata
• POST https://cdrn.fr/api/v1/tools/jwt-builder/execute - izvršava ovaj alat s JSON payloadom