Was JWT-Debugger ist
Dieses Werkzeug zerlegt ein JSON Web Token in seine drei Abschnitte, zeigt Kopf und Inhalt als lesbares JSON und prüft die Signatur, wenn der geheime Schlüssel vorliegt.
Arbeitsschritte
- Token einfügen – die Zerlegung erfolgt sofort
- Kopf und Inhalt lesen; die Ansprüche iss, aud und sub stehen unter der Tabelle
- Zeitangaben prüfen: Ein abgelaufenes exp ist der häufigste Grund für eine Ablehnung
- Bei HS-Token den geheimen Schlüssel eingeben und die Signatur prüfen lassen
Typische Anwendungen: Nach dem Anmelden prüfen, welche Ansprüche im Token stehen und wie lange es gilt, Bei einer abgelehnten Anfrage feststellen, ob das Token bereits abgelaufen ist, Im Test nachvollziehen, ob der Server denselben Schlüssel verwendet wie erwartet.
Ergänzende Hinweise
Ist das Einfügen eines echten Tokens hier unbedenklich?
Das Token wird nur im Browser zerlegt und nicht gesendet. Trotzdem gilt: Ein gültiges Token wirkt wie ein Ausweis. Für die Fehlersuche ist ein Testtoken die bessere Wahl als ein laufendes aus dem Produktivbetrieb.
Warum schlägt die Prüfung fehl, obwohl das Token gültig ist?
Meist stimmt der eingegebene Schlüssel nicht, oder das Token wurde mit einem anderen Verfahren signiert. Die Algorithmusangabe im Kopf nennt das verwendete Verfahren; bei RS, ES und PS kann die Prüfung hier nicht gelingen.
Was bedeutet es, wenn kein exp im Inhalt steht?
Das Token läuft dann nicht ab. Es bleibt gültig, bis der Aussteller es zurückzieht – solche Token sind ein Risiko, wenn sie in falsche Hände geraten.
Wird das Token gespeichert?
Nein. Es bleibt in diesem Fenster und ist nach dem Schließen der Seite fort.
Was geht, was nicht
Geprüft wird nur die Signatur mit gemeinsamem Schlüssel (HS256, HS384, HS512). Token, die mit RS, ES oder PS signiert sind, lassen sich hier nicht verifizieren; dafür wäre der öffentliche Schlüssel des Ausstellers nötig – der Inhalt bleibt trotzdem lesbar. Verschlüsselte Token mit fünf Abschnitten werden nicht unterstützt. Lesen Sie ein Token aus fremder Quelle nicht nebenbei: Ein Token in einer fremden Seite kann ein Köder sein, und wer es dort einfügt, gibt damit die Kontrolle über den Inhalt aus der Hand. Die Prüfung findet im Browser statt, das Token wird nicht übertragen.
Die wichtigsten Möglichkeiten
Kopf und Inhalt als eingerücktes JSON, jeweils kopierfertig, Zeitangaben exp, iat und nbf als Datum, dazu gerechnet, ob sie noch gelten, Prüfung der Signatur für HS256, HS384 und HS512 gegen den eingegebenen Schlüssel, Hinweis, wenn die Signatur fehlt oder das Token gar nicht signiert ist.
Nach der Arbeit mit JWT-Debugger folgen meist diese Schritte: