Alat pembangun · JWT penyahkod
Mengapa Penyahkod JWT Tidak Memerlukan Pelayan: Mengesahkan Dengan Panel Rangkaian
· Bagaimana ia berfungsi
jwt privasi pemprosesan pelayar
Memisahkan rentetan dan menyahkod base64url adalah kerja remeh untuk pelayar, jadi tiada sebab teknikal untuk penyahkod menghantar token anda ke mana-mana sahaja. Siaran ini menunjukkan cara mengesahkan bahawa alat mengekalkannya setempat.
Di manakah token saya pergi apabila saya menekan nyahkod? — soalan untuk ditanya tentang setiap alat dalam talian
Sebelum menggunakan mana-mana penyahkod dalam talian, tanya apa yang menerima rentetan selepas butang ditekan. JWT mungkin bukti kelayakan pembawa langsung, jadi muat naik boleh mendedahkan lebih banyak daripada tuntutan yang boleh dibaca. Halaman tidak seharusnya menerima token pengeluaran semata-mata kerana antara mukanya kelihatan seperti pemformat teks.
Amaran ToolAcre sendiri lebih ketat daripada janji pemasaran: jangan tampal token pengeluaran ke dalam mana-mana alat web, termasuk yang ini. Gunakan contoh yang telah tamat tempoh, diputar atau sintetik. Pelaksanaan berjalan secara setempat, tetapi sambungan pelayar, skrip sekeliling dan peranti kekal sebagai sebahagian daripada persekitaran yang anda mesti percayai.
Kerja yang terlibat — pemisahan rentetan, penyahkodan base64url dan penghuraian JSON, semua keupayaan pelayar standard
Penyahkod sebenar terdiri daripada operasi rentetan dan primitif pelayar. Kod ini memangkas awalan Pembawa pilihan, membelah pada titik, menormalkan abjad base64url, memulihkan padding, memanggil `atob`, menukar bait melalui UTF-8 TextDecoder yang ketat dan menghuraikan dua hasil pertama sebagai objek JSON.
Tiada satu pun daripada langkah tersebut memerlukan perkhidmatan jauh. Baris NumericDate menggunakan pelaksanaan Tarikh setempat, baris tuntutan dipasang daripada objek yang dihuraikan dan output ditetapkan sebagai teks. Sumber tidak mengimport perpustakaan pengesahan dan tidak meminta rahsia atau kunci awam kerana pemeriksaan adalah satu-satunya operasi yang ditawarkan.
Cara menyemak — buka panel rangkaian, tampal token, nyahkod dan perhatikan permintaan
Buka alat pembangun sebelum memasukkan data ujian yang tidak berbahaya, kosongkan senarai Rangkaian, lakukan penyahkodan, kemudian periksa permintaan baharu. URL permintaan carian, kaedah dan badan untuk token atau subrentetan tersendiri. Permintaan yang berlaku pada masa yang sama bukanlah muat naik secara automatik; buktikan sama ada bait kelayakan hadir.
Pastikan ujian terkawal. Muatkan halaman dahulu supaya permintaan aset telah diselesaikan, gunakan penanda sintetik unik dalam muatan dan elakkan kelayakan sebenar. Jika penanda muncul dalam badan permintaan, URL atau pengepala, nilai itu meninggalkan laluan penyahkod setempat. Jika tidak, pemerhatian menyokong sesi itu sahaja.
Dasar Keselamatan Kandungan yang ketat menyempitkan destinasi; halaman ini masih memuatkan skrip yang didedahkan
Halaman yang dijana termasuk Dasar Keselamatan Kandungan yang `connect-src` membenarkan destinasi diri, gumpalan dan data dan bukannya API jauh sewenang-wenangnya. Ini secara bermakna mengehadkan sambungan yang dimulakan skrip biasa, tetapi ia tidak membenarkan dakwaan garis besar "tiada skrip, teg atau analitis pihak ketiga." Produk yang lebih luas mungkin memuatkan skrip Google yang didedahkan.
CSP ialah pertahanan secara mendalam, bukan bukti bahawa setiap komponen boleh laku berhak mendapat kelayakan. Ia boleh mengehadkan destinasi sementara titik akhir pihak pertama kekal dibenarkan dan sambungan beroperasi di bawah keistimewaan yang berbeza. Baca dasar bersama bukti dan sumber Rangkaian; jangan runtuhkan pemerhatian berasingan itu menjadi "tiada apa yang boleh membaca medan ini."
Penyahkod tidak menyimpan token, tetapi ujian tambah nilai tidak dapat membuktikan setiap komponen di sekeliling tidak berbahaya
Panel JWT menyimpan tokennya dalam nilai editor dan tidak memanggil localStorage atau sessionStorage. Mengosongkan panel mengalih keluar nilai semasanya dan muat semula tidak mengandungi ciri yang memulihkan token. Fakta sumber yang lebih sempit itu menyokong kenyataan tidak berterusan tentang panel itu sendiri.
Editor kosong selepas muat semula ialah bukti yang berguna, tetapi bukan audit storan universal. Sejarah pelayar, pengurus papan keratan, sambungan, tangkapan skrin dan kemudahan sistem pengendalian terletak di luar modul ini. Oleh itu, semakan rangkaian dan storan hendaklah diterangkan sebagai pemerhatian yang boleh dihasilkan semula, bukan sebagai jaminan tentang setiap lapisan pada peranti.
Contoh yang berjaya: bezakan trafik halaman biasa daripada permintaan yang membawa data token
Untuk pemeriksaan yang berjaya, muatkan penyahkod JWT ToolAcre, tunggu sehingga aktiviti halaman awal selesai dan kosongkan senarai permintaan. Tampal sampel tamat tempoh terbina dalam atau token tidak sensitif lain, tekan Nyahkod dan tapis untuk perkataan muatan yang unik. Pengepala, muatan, nota algoritma dan baris masa sepatutnya muncul tanpa permintaan yang membawa penanda itu.
Jangan panggil panel "kosong" jika analitis, sambungan tapak atau permintaan aset kelihatan. Rekod dengan tepat apa yang berlaku: trafik halaman biasa mungkin wujud, sementara tiada permintaan yang diperiksa termasuk token sintetik. Perbezaan itu adalah bukti yang lebih kukuh daripada menyembunyikan baris yang tidak berkaitan untuk menjadikan tuntutan privasi kelihatan mutlak.
Perkara ini tidak meliputi — sambungan pelayar dan pengurus papan keratan, yang berada di luar kawalan halaman
Prosedur ini tidak boleh memeriksa sambungan pelayar berniat jahat, sejarah papan keratan atau sistem pengendalian yang terjejas. Ia juga tidak dapat membuktikan kod yang akan dilakukan selepas penggunaan masa hadapan. Ulanginya terhadap versi dan persekitaran yang anda ingin gunakan, dan lebih suka skrip tempatan yang anda kawal apabila bahan bukti kelayakan sebenar tidak dapat dielakkan.
Panel Rangkaian juga tidak menukar tuntutan yang didekod kepada fakta yang disahkan. Walaupun apabila token kekal dalam tab, ToolAcre tidak mengesahkannya. Pemprosesan tempatan mengurangkan satu laluan pendedahan; ia tidak mewujudkan integriti tandatangan, identiti penerbit, kesesuaian khalayak atau kebenaran.
Kod ToolAcre setempat melakukan penyahkodan, tetapi token langsung masih tidak tergolong dalam tapak web
ToolAcre melakukan pembahagian, penukaran bait dan penghuraian JSON dalam kod pelayar dan sumber khusus alatnya tidak mengandungi operasi muat naik atau kegigihan. Anda boleh menguji tingkah laku itu menggunakan data sintetik dan alat pembangun dan bukannya menerima lencana atau slogan privasi pada nilai muka.
Pengambilan yang betul kekal konservatif: sahkan laluan setempat, tetapi simpan token akses langsung daripada tapak web. Alat bahagian klien dekod sahaja boleh sesuai untuk diagnostik buang; ia bukan peti besi kelayakan, pengesah atau perkhidmatan kebenaran.