JWT Çözücü

Nasıl çalışır

1. Belirteci Authorization başlığından, bir çerezden ya da yerel depodan kopyalayın. Noktayla ayrılmış üç Base64url parçadan oluşur.
2. Kutuya yapıştırın. Baştaki Bearer ve çevresindeki boşluklar kendiliğinden yok sayılır.
3. JWT’yi çöz’e basın. Başlık algoritmayı ve anahtar kimliğini, yük ise claim’leri biçimlenmiş JSON olarak gösterir.
4. Zaman claim’lerine bakın: exp, iat ve nbf hem Unix saniyesi hem okunur tarih olarak gösterilir; belirtecin süresi dolmuş mu, bir bakışta görülür.

Sık sorulan sorular

Bu araç imzayı doğruluyor mu?

Hayır. Başlığı ve yükü çözer; bunlar yalnızca Base64url ile kodlanmıştır, şifrelenmiş değildir. İmzayı doğrulamak, verenin gizli anahtarını ya da açık anahtarını gerektirir ve sizin sunucunuzda yapılmalıdır. Düzgün çözülüyor diye claim’lere asla güvenmeyin.

Buraya gerçek bir erişim belirteci yapıştırmak güvenli mi?

Çözme tamamen tarayıcınızda olur; belirteç ne Nouplo’ya ne başkasına iletilir. Yine de canlı bir belirteç bir kimlik bilgisidir: onu parola gibi görün ve paylaşılan ya da halka açık bilgisayarlara yapıştırmayın.

Anahtar olmadan yükü neden okuyabiliyorum?

JWS — yaygın imzalı JWT — okunabilir olsun diye tasarlanmıştır. Base64url bir kodlamadır, şifreleme değil. İmza yalnızca belirtecin değiştirilmediğini kanıtlar; içeriği gizlemez. Gizlilik gerekiyorsa JWE kullanın ya da hassas olanı belirtecin dışında tutun.

exp, iat, nbf, iss, sub ve aud ne demek?

exp geçerlilik sonu, iat verilme anı, nbf ise ondan önce kabul edilmemesi gereken andır; hepsi Unix saniyesi cinsindendir. iss vereni, sub özneyi (genellikle kullanıcı kimliğini), aud ise hedeflenen kitleyi belirtir.

Belirtecin geçersiz olduğunu söylüyor. Neden?

Bir JWT tam olarak noktayla ayrılmış üç parçadan oluşmalı ve ilk ikisi JSON’a çözülen geçerli Base64url olmalıdır. Yaygın sebepler: kesik bir kopya, fazladan bir tırnak ya da satır sonu, veya JWT olmayan opak bir oturum kimliği.