JWT सिग्नेचर वेरिफ़ायर
JSON Web Token का सिग्नेचर HMAC सीक्रेट, PEM पब्लिक key, X.509 सर्टिफ़िकेट, JWK या JWKS से वेरिफ़ाई करें, और exp, nbf, issuer व audience लोकली जाँचें।
HS256हैश आकार जितने कम से कम रैंडम बाइट इस्तेमाल करें (HS256 के लिए 32 बाइट)। छोटे पासवर्ड ऑफ़लाइन ब्रूट-फ़ोर्स से तोड़े जा सकते हैं।
JWT वेरिफ़ायर क्या है?
यह टूल वेरिफ़ाई करता है कि JSON Web Token आपकी दी हुई key से साइन हुआ और बदला नहीं गया है, और उसके समय क्लेम अभी वैध हैं। यह HS256/384/512 के लिए साझा सीक्रेट, या RS, PS, ES और EdDSA टोकन के लिए PEM पब्लिक key, X.509 सर्टिफ़िकेट, JWK या JWKS स्वीकार करता है, वैकल्पिक issuer और audience जाँच तथा clock tolerance के साथ।
JWT वेरिफ़ायर का उपयोग कैसे करें
- टोकन चिपकाएं; उसके हेडर का एल्गोरिदम दिखता है।
- सीक्रेट (HS*) या पब्लिक key, सर्टिफ़िकेट, JWK या JWKS डालें।
- चाहें तो clock tolerance, अपेक्षित issuer और अपेक्षित audience सेट करें, या "Check the signature only" टिक करें।
- Verify दबाएं और नतीजा पढ़ें; सफल होने पर पेलोड और समय क्लेम दिखते हैं।
उदाहरण
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
सीक्रेट wrong-secret के साथ नतीजा होता है: Signature verification failed.
JWT वेरिफ़ायर का उपयोग कब करें
इसे यह पुष्टि करने के लिए इस्तेमाल करें कि टोकन अपेक्षित सर्वर ने जारी किया, "invalid signature" एरर डीबग करने, या key रोटेशन टेस्ट करने के लिए। सही key के बिना कोई टूल JWT वेरिफ़ाई नहीं कर सकता। प्रोडक्शन सीक्रेट किसी वेबसाइट पर चिपकाने से बचें; पब्लिक key को प्राथमिकता दें, जिसे साझा करना सुरक्षित है।
JWT वेरिफ़ायर कैसे काम करता है
वेरिफ़िकेशन jose लाइब्रेरी और Web Crypto से लोकली चलता है। केवल टोकन हेडर में नामित एल्गोरिदम की अनुमति है, और alg "none" हमेशा अस्वीकार होता है। HMAC टोकन सीक्रेट के UTF-8 (या Base64-डीकोड किए) बाइट से वेरिफ़ाई होते हैं; असिमेट्रिक टोकन इम्पोर्ट किए SPKI, X.509, JWK या लोकल JWKS (kid से मिलाए) से। सिग्नेचर के बाद exp और nbf की तुलना आपके डिवाइस की घड़ी (और tolerance) से होती है, और अगर आपने iss/aud डाले हों तो वे मिलाए जाते हैं। हर विफलता विशिष्ट कारण के साथ रिपोर्ट होती है।
सामान्य उपयोग मामले
- रोटेशन के बाद जाँचना कि टोकन मौजूदा key से साइन हुआ या पुरानी से।
- डीबग करना कि गेटवे टोकन क्यों अस्वीकार करता है (expired बनाम ग़लत audience बनाम ख़राब सिग्नेचर)।
- OpenID Connect ID टोकन को प्रोवाइडर के JWKS से वेरिफ़ाई करना।
- पुष्टि करना कि टोकन से छेड़छाड़ नहीं हुई।
सुरक्षा नोट
वेरिफ़िकेशन आपके ब्राउज़र में होता है; key और टोकन अपलोड नहीं होते। पब्लिक key साझा करना सुरक्षित है, सीक्रेट नहीं।
अक्सर पूछे जाने वाले प्रश्न
क्या यह key के बिना टोकन वेरिफ़ाई कर सकता है?
नहीं। सिग्नेचर सिर्फ़ सीक्रेट (HMAC) या जारीकर्ता की पब्लिक key से जाँचा जा सकता है। key के बिना डीकोडिंग कुछ साबित नहीं करती।
पब्लिक key कहाँ से मिलेगी?
OpenID Connect प्रोवाइडर /.well-known/openid-configuration में दिए jwks_uri पर JWKS प्रकाशित करते हैं। वह JSON यहाँ चिपकाएं।
वैध सिग्नेचर के बाद भी फ़ेल क्यों होता है?
टोकन expired, अभी अवैध (nbf), या आपके डाले issuer या audience से अलग हो सकता है। संदेश बताता है कि कौन-सी जाँच फ़ेल हुई।