JWTの読み方

トークンがクリップボードにあってから開く。普通は点で区切った3部。署名は検証されない。アップロードなし。

1. 読むとJSONが見える。署名は検証されない

   誰でもペイロードを変えて再符号化できる。このページはJSONを見せる。署名も発行者もオーディエンスも検証しない。整ったペイロードは読む理由であり、鍵を持つ場所で検証する理由でもある。

   

2. cv.cmのJWTデコーダを開く

   復号はこのタブ。

   JWT デコーダを開く

3. トークンを貼る

   普通は点で区切った3部。2部でも復号できる。使用中のアクセストークンにはメールやユーザーidがあり得る。チャットに出さない。共有画面でこのタブを開かない。

4. alg とクレームを読む

   alg はラベル。none という語も含む。ラベルでしかない。iss、aud、sub、exp を見る。復号できないなら、ヘッダかペイロードが base64url の JSON ではない。

5. 期限切れは exp と時計の比較

   exp は秒。その瞬間が過去なら行は期限切れと書く。exp が無いのは、比べる期限クレームが無いということ。どちらも署名は検証されていない。

   

6. タブを閉じる

   閉じるとこのページのトークンは消える。信頼できるトークンが要るなら、秘密か公開鍵がある場所で検証する。このページにはどちらもない。