टोकन का हेडर और क्लेम पढ़ें, देखें कि वह कब एक्सपायर होता है — एपॉक सेकंड में नहीं, शब्दों में — और अपने सीक्रेट या पब्लिक की से सिग्नेचर जाँचें; सब इसी टैब में। JWT एक बियरर क्रेडेंशियल है: जिसके पास यह है वह इसके मालिक की तरह काम कर सकता है, और इसीलिए इसे किसी और के सर्वर पर पेस्ट नहीं करना चाहिए।
JWT पेस्ट करें, Bearer प्रीफ़िक्स के साथ या बिना।
HMAC टोकन साझा सीक्रेट से जाँचे जाते हैं।
{
"alg": "HS256",
"typ": "JWT"
}समय आपकी लोकल घड़ी के अनुसार दिखाए गए हैं, एपॉक सेकंड में नहीं।
| क्लेम | वैल्यू |
|---|---|
subSubject — टोकन किसके बारे में है | 4821 |
name | ريم الحلبي |
role | editor |
scopeदिए गए स्कोप | orders:read orders:write |
issIssuer — टोकन किसने जारी किया | https://api.frugaldomain.site |
audAudience — यह किसके लिए है | frugal-dashboard |
iatजारी हुआ | 17500000006/15/2025, 6:06:40 PM · last year |
expएक्सपायर होगा | 17500036006/15/2025, 7:06:40 PM · last year |
JWT कोई भी पढ़ सकता है — पेलोड base64 है, एन्क्रिप्शन नहीं। यह साबित करना कि टोकन आपके सर्वर से आया, सिग्नेचर का काम है, और उसे जाँचने के लिए की चाहिए। सिर्फ़ डिकोड करने वाला टूल बताता है कि टोकन क्या दावा करता है, यह नहीं कि दावा सच है या नहीं।
जिस टोकन का हेडर alg: none कहता है, उस पर कोई सिग्नेचर होता ही नहीं। जो लाइब्रेरी इस हेडर को मान लेती हैं वे ऐसा टोकन स्वीकार कर लेती हैं जिसे कोई भी लिख सकता था — JWT का सबसे पुराना हमला, जो आज भी मिलता है। यह पेज इसे चुपचाप डिकोड करने के बजाय एरर के रूप में चिह्नित करता है।
RSA वेरिफ़िकेशन के लिए सिर्फ़ पब्लिक हिस्सा चाहिए, जो डिज़ाइन से ही सार्वजनिक होता है। कोई भी जायज़ चीज़ आपसे प्राइवेट की या HMAC सीक्रेट ऐसे वेब पेज पर पेस्ट करने को नहीं कहती जो आपके नियंत्रण में नहीं है — इस पेज पर भी नहीं, इसीलिए पूरी जाँच लोकल में चलती है और पेज यह साफ़ कहता है।
इस पेज को रेट करने वाले पहले व्यक्ति बनें