JWT-luoja
Luo allekirjoitettuja JWT-tokeneita mukautetulla otsikolla, hyötykuormalla ja avaimella. Tukee HS256, RS256, ES256.
Mikä on JWT?
JWT (JSON Web Token, RFC 7519) on avoin standardi tiedon turvalliseen siirtoon kompaktina JSON-objektina. Koostuu kolmesta pisteillä erotetusta osasta: Header.Payload.Signature.
Mitkä ovat JWT:n yleiset käyttötarkoitukset?
JWT:tä käytetään laajasti todennukseen (kertakirjautuminen), API-valtuutukseen ja turvalliseen tietojenvaihtoon. Kirjautumisen jälkeen palvelin myöntää JWT:n, jonka asiakas sisällyttää myöhempiin pyyntöihin.
Miten valitsen HS256, RS256 ja ES256 välillä?
HS256 käyttää jaettua salaisuutta ja on nopein, sopii yksittäisille palveluille. RS256 käyttää RSA-avainpareja, parempi monipalveluarkkitehtuureille. ES256 käyttää elliptisen käyrän avaimia lyhyemmillä allekirjoituksilla ja korkealla turvallisuudella.
Mitä ovat JWT claims?
Claims ovat väittämiä hyötykuormassa. Rekisteröidyt claims sisältävät iss (myöntäjä), sub (aihe), exp (vanheneminen), aud (vastaanottaja). Julkiset claims voidaan rekisteröidä IANA:han. Yksityiset claims ovat mukautettuja kenttiä.
Miten varmennan JWT:n?
Pura header saadaksesi algoritmin, käytä sitten sopivaa avainta (jaettu salaisuus HMAC:lle, julkinen avain RSA/ECDSA:lle) allekirjoituksen varaamiseksi. Tarkista myös exp, iss ja aud.
Onko JWT:n luominen selaimessa turvallista?
Kyllä, tämä työkalu käyttää Web Crypto API:a. Avaimesi ja tokenisi eivät koskaan poistu selaimesta. Dataa ei lähetetä palvelimille.
Mikä on ero koodauksen ja allekirjoituksen välillä?
Koodaus (Base64) muuntaa tiedon vain siirrettävään muotoon ja kuka tahansa voi purkaa sen. Allekirjoitus luo kryptografisen tiivisteen, joka todistaa tokenia ei ole muutettu.
Voiko JWT:n salata?
Kyllä, JWE (JSON Web Encryption) salaa hyötykuorman sisällön. Standardi JWT (JWS) takaa vain eheyden, mutta hyötykuorma on kenen tahansa tokenin haltijan luettavissa.
Mitkä ovat JWT:n parhaat turvallisuuskäytännöt?
Aseta aina lyhyet vanhenemisajat. Käytä vahvoja satunnaisia salaisuuksia HMAC:lle. Säilytä yksityiset avaimet turvallisesti. Älä laita arkaluonteisia tietoja hyötykuormaan. Käytä HTTPS:ää tuotannossa.
Miten JWT vertautuu istuntopohjaiseen todennukseen?
JWT on tilaton — palvelin ei tallenna istuntotietoja, ihanteellinen mikropalveluille ja cross-domain-skenaarioille. Istunnot vaativat palvelinpuolen tallennuksen mutta mahdollistavat välittömän peruuttamisen.
Onko JWT sopiva uloskirjautumiseen ja istunnonhallintaan?
JWT on tilaton luonteeltaan, joten uloskirjautuminen vaatii lisämekanismeja kuten estolistoja tai lyhytikäisiä tokeneita refresh tokenien kanssa. Käytä lyhytikäisiä käyttötokeneita (esim. 15 minuuttia).
Miten refresh token -malli toimii JWT:n kanssa?
Käytä lyhytikäistä käyttötokenia (JWT) API-kutsuihin ja pidempää refresh tokenia uusien käyttötokenien hankkimiseen. Kun käyttötoken vanhenee, asiakas lähettää refresh tokenin saadakseen uuden JWT:n.
Mikä on "none"-algoritmi?
"None"-algoritmi tarkoittaa, että JWT:tä ei ole allekirjoitettu. Käytä vain testaukseen. Monet kirjastot poistavat sen käytöstä oletuksena.
Onko JWT:llä kokorajoituksia?
JWT:llä ei ole kiinteää kokorajoitusta, mutta koska se lähetetään HTTP-otsikoissa, sen pitäisi pysyä alle 4KB. Pidä hyötykuorma minimaalisena.
Näin käytät työkalua JWT-luoja
Luo allekirjoitettuja JSON Web Tokeneita omalla headerilla, payloadilla sekä secretilla tai avaimella. Valitse HS256/384/512, RS256/384/512 tai ES256/384/512 — kaikki luodaan paikallisesti selaimessasi.
- Valitse algoritmi pudotusvalikosta: jaetuille secretille HS256, HS384 tai HS512, avainpareille RS256/384/512 tai ES256/384/512, tai allekirjoittamattomalle tokenille 'none'.
- Muokkaa headerin ja payloadin JSONia, esimerkiksi lisäämällä claimeja kuten sub, iss ja exp.
- Syötä secretisi (HS*-algoritmeille) tai liitä yksityinen avaimesi (RS*- ja ES*-algoritmeille).
- Luo token ja kopioi syntynyt pisteillä erotettu JWT API-pyyntöihisi tai testeihisi.
'none' luo allekirjoittamattoman tokenin, jonka useimmat palvelimet hylkäävät — käytä sitä vain debuggaukseen.
Aiheeseen liittyvät työkalut
- JWT-purkaja Ilmainen online JWT-purkaja. Pura JSON Web Tokenit heti nähdäksesi otsikko, hyötykuorma ja allekirjoitus. Ei rekisteröitymistä.
- Tiivistetarkistus Laske ja vahvista MD5, SHA-1, SHA-256, SHA-512 tiedostotiivisteet paikallisesti
- Chmod-laskin Ilmainen online chmod-laskin Linux-tiedostooikeuksien visualisointiin ja laskentaan valintaruuduilla. Muunna heti numeerisen (755, 644) ja symbolisen merkintätavan (rwxr-xr-x) välillä. Tukee erikoisoikeuksia kuten setuid, setgid, sticky bit.
- ASCII-taulukko Täydellinen ASCII-merkkikoodausviite desimaali-, heksadesimaali-, oktaali-, binäärikoodeilla, HTML-entiteeteillä ja merkinkuvauksilla. Välitön haku ja suodatus.
- Hex-katselin Näytä tiedostojen sisältö hex-dump-muodossa haulla, siirtymällä ja virtuaalisella vierityksellä
- HTTP-pyyntö Testaaja Testaa REST API:ja suoraan selaimessasi. Lähetä GET-, POST-, PUT-, DELETE-pyyntöjä mukautetuilla otsikoilla, rungolla ja parametreilla. Näe vastauksen tila, otsikot ja JSON-runko heti.
- .htaccess-generaattori Luo Apache .htaccess-sääntöjä uudelleenohjauksille, uudelleenkirjoituksille, turvallisuusotsikoille, välimuistille ja muulle.
- Robots.txt Generaattori Ilmainen online robots.txt generaattori. Luo ja mukauta robots.txt-tiedostoja hallitaksesi hakukoneiden indeksointia, hallitaksesi indeksoijien pääsyä ja optimoidaksesi sivustosi SEO.