JWT generátor

JWT-generátor, amely a Web Crypto API-val, teljes egészében a böngésződben épít és ír alá JSON Web Tokeneket az adattartalmadból és a titkodból. Párja a JWT-dekóder, amely egy meglévő tokent vizsgál meg.

Egy JWT három, ponttal elválasztott részből áll: egy fejlécből, egy állításokat tartalmazó adattartalomból és egy aláírásból, mindegyik Base64url kódolással. Az aláírás teszi megbízhatóvá a tokent: bizonyítja, hogy az adattartalom nem módosult, és hogy olyan valaki adta ki, aki birtokolja a titkot.

Ez az eszköz HS256-tal ír alá, vagyis SHA-256-ot használó HMAC-kel, ami a leggyakoribb szimmetrikus JWT-algoritmus. Ugyanaz a titok írja alá és ellenőrzi a tokent, ezért a kiszolgálón bizalmasan kell tartani.

A HS256-hoz használj hosszú, véletlenszerű titkot. A rövid vagy kitalálható titok az egész tokent aláássa, hiszen aki kitalálja, saját érvényes tokeneket állíthat elő.

Fontos tudnivaló a JWT-kről: az adattartalom csak kódolt, nem titkosított. Bárki, akinél a token van, Base64-dekódolással elolvashatja az állításait, ezért soha ne tegyél jelszót vagy érzékeny adatot egy JWT-be. Az aláírás megakadályozza a hamisítást, de nem nyújt titkosságot.

Mivel az aláírás helyben történik, a titkod és az adattartalmad soha nem hagyja el az eszközöd. Ettől függetlenül kerüld a valódi éles titkok beillesztését közös vagy nyilvános számítógépen.