JWT پارسر

ہاں۔ ڈی کوڈنگ مکمل طور پر آپ کے براؤزر میں چلتی ہے، کوئی نیٹ ورک کالز نہیں — انٹرنیٹ منقطع کر کے صفحہ دوبارہ لوڈ کرنے سے آپ اس کی تصدیق کر سکتے ہیں۔ تاہم، عمومی احتیاط کے طور پر پروڈکشن ٹوکنز کہیں بھی پیسٹ کرنے سے گریز کریں۔

نہیں۔ پارسنگ صرف ہیڈر اور payload کو base64url-ڈی کوڈ کرتی ہے۔ دستخط کی تصدیق کے لیے سائننگ کی (HMAC راز یا پبلک کلید) درکار ہے، جو صرف آپ کے auth سرور کے پاس ہوتی ہے۔

JWT payload انکوڈڈ ہوتی ہیں، انکرپٹڈ نہیں۔ جس کے پاس ٹوکن ہے، وہ claims کو ڈی کوڈ کر کے پڑھ سکتا ہے — یہ جان بوجھ کر ایسا ڈیزائن کیا گیا ہے۔ JWT payload میں کبھی بھی راز یا حساس ڈیٹا محفوظ نہ کریں۔

exp claim دیکھیں — ایک Unix timestamp جس کے بعد ٹوکن مسترد کر دیا جانا چاہیے۔ یہ پارسر exp اور nbf کی بنیاد پر ٹوکن کی حالت (فعال، ختم شدہ، یا ابھی درست نہیں) خودکار طور پر نمایاں کرتا ہے۔

HS256 متنانظر ہے: ایک مشترک سیکرٹ دونوں دستخط اور تصدیق کرتی ہے، اس لیے جو کوئی ٹوکن تصدیق کر سکتا ہے وہ جعلی بھی بنا سکتا ہے۔ RS256 غیر متنانظر ہے: پرائیویٹ کی دستخط کرتی ہے اور پبلک کی تصدیق کرتی ہے، جو اس وقت زیادہ محفوظ ہے جب متعدد خدمات کو ٹوکن کی تصدیق کرنی ہو۔ کوئی مخصوص وجہ نہ ہو تو RS256 یا ES256 کو ترجیح دیں۔

اس کا مطلب ہے کہ ٹوکن غیر دستخط شدہ ہے۔ یہ درست JWT ساخت ہے، لیکن تصدیق کرنے والے کبھی اسے قبول نہ کرے: کلاسک JWT کمزوری یہ تھی کہ حملہ آور دستخط کی جانچ کو بائی پاس کرنے کے لیے alg کو none پر سیٹ کر دیتے تھے۔ اگر آپ کا بیک اینڈ غیر دستخط شدہ ٹوکن قبول کرتا ہے تو اسے سیکیورٹی بگ سمجھیں۔