Simbua JSON Web Token kienyeji ndani ya kivinjari kuwa JSON inayosomeka: header na payload zaonekana, bila kupakia.
Inachakata humu kwenye kifaa chako ...
Inachakata humu kwenye kifaa chako ...
0%
Faili zako hazikutoka kamwe kwenye kifaa chako
Hapana. Kila kitu hufanyika kwenye kivinjari chako - faili yako haitoki kamwe kwenye kifaa chako. Jinsi hili linavyoweza kuthibitishwa
JSON Web Token (JWT, RFC 7519) ni tokeni fupi inayoundwa na sehemu tatu zilizotenganishwa kwa nukta: header, payload, na saini. Header na payload ni JSON iliyosimbwa kwa Base64URL tu (RFC 7515), si siri bali ni mwandiko salama wa kusafirisha. Kifaa hiki hutenganisha sehemu hizo, kinarudisha header na payload kwa kuzifumbua, kisha kinaonyesha JSON iliyomo ikiwa imepangwa vizuri. Kwa mtazamo mmoja unaona algoriti iliyotajwa na taarifa (claims) ambazo tokeni inabeba.
Muhimu na kwa uwazi: kifaa hiki kinafumbua tu, hakithibitishi saini. Uthibitishaji halisi unahitaji siri au ufunguo wa umma wa mtoaji, ambao kifaa hiki kwa makusudi hakiuombi kamwe. Hivyo tokeni iliyofumbuliwa bado si tokeni inayoaminika: maudhui yake yanaweza kuwa yamechezewa. Tumia mwonekano huu kuelewa na kutatua hitilafu (claims zipi, exp inaisha lini, iss ipi), kamwe si kama uthibitisho wa uhalisi.
Uchakataji wote unaendeshwa kikamilifu kienyeji ndani ya kivinjari kwa JavaScript halisi: tokeni haipakiwi, haihifadhiwi, na hakuna maktaba ya kigeni inayopakuliwa kutoka CDN. Hili ni muhimu hasa kwa tokeni, kwa sababu tokeni ya ufikiaji au tokeni ya kitambulisho haifai kuwekwa katika fomu ya mtandaoni ya mtu mwingine. Ikiwa ingizo si JWT halali, kifaa kinasema hivyo kwa uwazi badala ya kubuni matokeo yasiyo sahihi.
Kirekebishaji cha JWT mtandaoni kinachojulikana zaidi (jwt.io na sawa nacho) chenyewe hutahadharisha dhidi ya kubandika tokeni halisi za uzalishaji, kwa sababu uchakataji hupitia tovuti ya nje. Kwa zana hii, wasiwasi huo haupo: hufanya kazi kwa ndani kabisa kwenye kivinjari, bila akaunti na bila uhamishaji wa data - tokeni halisi ya ufikiaji au utambulisho yenye data halisi za mtumiaji ni salama hapa kama tokeni ya jaribio.
| Miundo ya ingizo | Ingizo la maandishi |
|---|---|
| Muundo wa matokeo | JSON |
| Uchakataji wa kundi | Hapana |
| Uchakataji | Ndani ya kivinjari (JavaScript) |
| Upakiaji wa faili | Hakuna |
Mipaka: Ku-decode tu bila kuthibitisha saini: kifaa hiki HAKIthibitishi kuwa tokeni ni halisi au haijabadilishwa, hilo lingehitaji ufunguo wa mtoaji. Pia hakikagui iwapo tokeni imeisha muda; kinaonyesha tu claims. Tokeni zilizosimbwa (JWE) hazifunguliwi. Header na payload ni Base64URL tu, si usimbaji fiche, kwa hivyo usiweke kamwe siri ndani ya payload.
Hapana. Ku-decode kunaendeshwa kikamilifu kienyeji ndani ya kivinjari; tokeni haitoki kamwe kwenye kifaa chako na haihifadhiwi.
Hapana. Kinafumbua header na payload tu. Kuthibitisha saini kunahitaji ufunguo wa mtoaji, ambao kifaa hiki kwa makusudi hakiuombi kamwe. Tokeni iliyofumbuliwa si tokeni inayoaminika.
Mara nyingi hapana. Header na payload zimesimbwa kwa Base64URL tu, ambazo mtu yeyote anaweza kuzisoma tena. Kwa hivyo usiweke siri ndani ya payload.
Claims za kawaida: iss ni mtoaji, iat ni wakati wa kutolewa, exp ni wakati wa kuisha muda (kama wakati wa Unix), sub ni mhusika. Kifaa kinazionyesha bila kubadilishwa; hakizichambui.
Ikiwa ingizo si JWT halali (idadi mbaya ya sehemu au Base64URL iliyoharibika), kifaa kinaripoti hitilafu kwa uwazi badala ya kuonyesha matokeo yasiyo sahihi.
Ndiyo, kwenye kivinjari chochote cha kisasa cha simu sawa na kwenye kompyuta - tokeni inabaki ya ndani.
Hapana. Hakuna akaunti, hakuna kujisajili, hakuna kikomo cha idadi ya tokeni zilizosimbuliwa.
Ndiyo - salama zaidi kuliko wasimamizi wengi wa mtandaoni, kwa sababu tokeni haiondoki kamwe kwenye kifaa chako. Hata hivyo: itendee tokeni kama nenosiri, ibandike tu unapohitaji kweli.
Simba kuwa Base64 · Kokotoa checksum · Jenereta ya UUID · Ona Cheti X.509 · Kizalisha CSR · Kizalisha BIP39