Tạo JWT

Một bộ tạo JWT dựng và ký các JSON Web Token từ phần tải và khóa bí mật của bạn, hoàn toàn trong trình duyệt bằng Web Crypto API. Nó đi cặp với bộ giải mã JWT, vốn dùng để xem một token có sẵn.

Một JWT có ba phần cách nhau bằng dấu chấm: phần header, phần tải chứa các thông tin xác nhận, và phần chữ ký, mỗi phần đều mã hóa Base64url. Chữ ký là thứ khiến token đáng tin: nó chứng minh phần tải chưa bị sửa và được phát hành bởi ai đó nắm khóa bí mật.

Công cụ này ký bằng HS256, tức HMAC dùng SHA-256, thuật toán JWT đối xứng phổ biến nhất. Cùng một khóa bí mật vừa ký vừa xác minh token, nên nó phải được giữ kín trên máy chủ.

Với HS256, hãy dùng một khóa bí mật dài và ngẫu nhiên. Một khóa ngắn hay dễ đoán sẽ phá hỏng toàn bộ ý nghĩa của token, vì ai đoán ra nó cũng có thể tự tạo token hợp lệ.

Một điểm quan trọng về JWT: phần tải chỉ được mã hóa biểu diễn chứ không mã hóa bảo mật. Bất kỳ ai có token đều đọc được các thông tin trong đó bằng cách giải mã Base64, nên đừng bao giờ đặt mật khẩu hay dữ liệu nhạy cảm vào một JWT. Chữ ký ngăn việc sửa đổi chứ không đem lại sự bí mật.

Vì việc ký diễn ra tại chỗ, khóa bí mật và phần tải của bạn không bao giờ rời khỏi thiết bị. Dù vậy, hãy tránh dán những khóa bí mật thật của môi trường chạy thật trên một máy tính dùng chung hay máy công cộng.