Інструменти розробника · JWT декодер
Розгортання 401: Що перевірити в декодованій JWT Перед розпусканням API
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
свінгери декупація автентифікації
Більшість відмов від токени з'являються до ручного вирішення проблем, які ви можете помітити шляхом читання корисного навантаження. Ця публікація дає можливість перевірити аудиторію, від того, щоб її перевірити.
Працює вчора — 401 що з'являється без зміни коду
Р 401 що з’являється без зміни коду клієнта може виходити в вікі токени, політиці емітента, вибірки аудиторії або пошкоджену копію. Почати з доказами, а не припускати API вниз. Збережіть дані та кореляційні ідентифікатори перед маніпулюванням облікового запису.
Відхилити тільки відстрочену, синтетичну або відповідну копію. ToolAcre може виводити структурні та претензійні відключення, але це не може визначити кожну відмову сервера, оскільки він не має ключа, політики емітента або API Увійти Список перевірок вузьких питань; не замінює вирок ресурсного сервера.
Скопіювати помилки в першу чергу — «Берез» префікси, причепивши нові лінії і трауровані токени
Перевірити перше значення. ToolAcre обрізки, що оточують білий простір і видаляє один випадок `Bearer ` префікс, який ручить поширену пасту авторизації. Після цього потрібно всього три дозрівають сегменти. Неправильні точки підрахунку щодо викривлення, неправильної форми токени або додаткового пунктуації перед початком аналізу претензій.
Порожня заголовка або вивантаження не вдається особливо. Недійсний base64url, недійсний UTF-8 і недійсний JSON мають окремі помилки. Ті відмінності допомагають визначити, чи пошкоджено токени. Підпис може бути шкідливим без перевірки блокування, але це попередження залишається ймовірним підтвердженням, що вимагає підтвердження сервера.
exp and nbf: огляд значень за секундами без перетворення відображення в вирок дії
Огляд нумеричної `exp` і `nbf` значення наступного. ToolAcre секунди мультиплиць 1,000, шоу UTC і мітки раніше терміну придатності або майбутнього непередбачуваного відносно годинника браузера. П'ятнадцять-цифрова вартість може бути написано мілісекунди, де будуть очікувані секунди.
Не пропагувати ці етикетки до виконання. Ковані токени можуть вимагати майбутній витривалість, і сервер може використовувати різні годинники або поле в'їзду. Визначено арифметичне значення для порівняння з довіреними журналами; криптографічна перевірка повинна бути досягнута до прийняття претензій.
aud і iss — це жетон для цього API, від емітента API довіра?
`aud` слід визначити призначений одержувач під APIПолітика конфіденційності `iss` повинні відповідати довіреним питанням. ToolAcre Списки як декодовані значення, так і пояснюють їх зареєстровані значення. Не порівнювати їх з API конфігурація або об'єднати рядок емітента до ключа.
Чистий емітент URL і назва аудиторії може бути виготовлена. Порівняти точне декодування значень з налаштуваннями сервера лише після збереження межи з підписом. Якщо у декількох сервісах, які діляться інфраструктурою ідентичності, аудиторія перевірок особливо важлива для запобігання дійсного токена для одного сервісу, який використовується в іншому місці.
Тип токени може бути запропонований заголовками та позовами, але декодування не може бути достовірним, що класифікація
Випадковий токени і токени доступу може виглядати як тричастий JWTs. Заголовок `typ`, аудиторія, обсяги та вимоги профілю можуть запропонувати, які ви тримаєте. ToolAcre попереджає про несподіваний рядок `typ`, але він не реалізує OpenID Connect або OAuth токен класифікації.
Використовуйте документацію емітента і клієнту, щоб встановити очікуваний вид токена. Надсилання токена ідентифікатора до API не може навіть якщо його підпис дійсний для провайдера ідентичності. Випадкові опори діагнозу; не можна автентифікувати етикетку типу або надати API влада.
дитина після ключового повороту — дійсний токен, який посилює ключ, сервер більше не має
Після ключового повороту заголовок `kid` може звернутися до ключа, від поточного довіреного сервера. Прочитайте ідентифікатор, потім перевірте кеш-пам'ятки та заголовок на виверизаторі. Не лікуйте заголовок URL або приймати вбудований ключовий матеріал як швидкий робочий стіл.
Якщо ви не можете знайти дозволений ключ, тоді як атакуючий може писати будь-який `kid` в неперевершений заголовок. Значення є доповненням довіреної конфігурації емітента, не свідчить про те, що конкретний ключ слід вважати.
Зароблений приклад — працює відхилений токен через контрольний список ToolAcre JWT декодер
Для роботи тривають контрольний відхилений токен, підтверджують три сегменти, похибки інспектора, потім записують `exp`, `nbf`, `aud`, `iss`, `typ` і `kid` без редагування. Порівняйте кожне поле з метою запиту API і довірена конфігурація вихідного пристрою. Зберігайте журнали серверів, відкриті для фактичної категорії несправностей.
Якщо всі видимі значення будуть очікувані, не укладайте, що API неправильно. Зловживання корупції, невірний ключовий матеріал, відкликаний державою або непоказною політикою все ще може пояснити 401. ToolAcreй `signatureVerified` Залишається помилково незалежно від того, як вмирає JSON з'являється.
Що це не обкладинка і в'їзд — декодер не може сказати, чи дійсний підпис; список перевірок знаходить проблеми претензій, а також відмова від підпису потрібні журнали сервера
Ви не можете сказати, що підпис дійсний. Список претендій знаходить проблеми з копіюванням та перевантаженням, які видно без ключа; порушення підписів та авторитетних політичних рішень, які потребують доказів сервера. Порадуйте декод як одну діагностичну спостереження.
Найшвидший надійний шлях замовляється: збереження контексту відповіді, розуміння форми токени, порівняння часових одиниць, потім порівняння емітента, аудиторія, тип і ключовий ідентифікатор з довіреною конфігурацією. Зупинити короткий термін довіри до реального виверження підтверджує криптографію та політику.