Cos'è un JWT
Un JSON Web Token (JWT) è un formato stringa compatto utilizzato per le sessioni, l'autorizzazione API e le richieste di servizio-a - servizio. Un tipico JWT ha tre segmenti Base64URL: Header (algoritmo e tipo), Payload (reclami come ID utente e exp) e Signature (dimostra l'integrità se verificata correttamente).
Con Towalles jwt-decoder, incolla un token localmente nel browser e ispeziona istantaneamente Header e Payload JSON. Nulla viene caricato - ideale per il debug degli ambienti di sviluppo, il controllo della scadenza e la risoluzione dei problemi di risposte 401 inaspettate.
La decodifica non è una verifica
Chiunque può decodificare l'intestazione JWT e il payload con base64, quindi non inserire mai password o numeri di carta completi nelle richieste. La firma esiste in modo che i server possano verificare che il token sia stato emesso da una parte attendibile e non sia stato manomesso.
Errore comune: "Ho decodificato il JWT nel frontend e ho visto ruolo: admin, quindi l'utente è admin. Gli attaccanti possono falsificare payload a meno che la tua app non decodifichi senza verificare. Verificare sempre le firme e le richieste (exp, aud, iss) sul server.
Tip pratici di debugging
Verifica se l'exp è passato; consentire la distorsione dell 'orologio. Confirmare che alg corrisponde alle aspettative (attento a alg: none o confusione algoritmica). Abbinare iss / aud al tuo servizio. Per HS256, mantenere i segreti solo lato server; jwt-generator è per il codice di sviluppo locale, non per il codice client di produzione.
Accoppiamento con hash-generator e hashc-generator per comprendere la firma vs HMAC: la firma JWT è un protocollo strutturato; HMAC è l'autenticazione generale dei messaggi. Utilizzare il generatore per la convalida dei webhook API.
Privacy e compliance
Anche con gli strumenti locali, non divulgare i token di produzione nelle registrazioni dello schermo, nei log o nei ticket. Ruota i segreti, mantiene i token di accesso di breve durata e utilizza l'autorizzazione di aggiornamento o step-up per azioni sensibili. Le pagine degli strumenti di Towels includono tutorial e FAQ per allineare le linee di base della sicurezza del team.