JSON Web Tokens (JWT): Nutzlastprüfung und Sicherheit
JSON Web Tokens (JWT) sind ein offener Standard (RFC 7519), der zur sicheren Übertragung von Ansprüchen zwischen einem Client und einem Server verwendet wird. Sie werden allgemein für die zustandslose Authentifizierung in modernen REST-APIs verwendet.
Das Einfügen Ihrer Produktions-JWTs in externe Websites ist äußerst gefährlich, da bösartige Websites Ihre Sitzungstoken abfangen können. Dieser Inspektor teilt und dekodiert die Base64-Nutzlasten vollständig clientseitig, was bedeutet, dass Ihre Authentifizierungsdaten vollständig isoliert sind.
Formel & Berechnungsmethode
JWT-Struktur = Base64Url(Header) . Base64Url(Nutzlast) . Unterschrift
Der Token besteht aus drei verschiedenen Teilen, die durch Punkte getrennt sind. Der Header definiert den Algorithmus (z. B. HS256), die Payload enthält die Benutzeransprüche und die Signatur validiert die Daten kryptografisch.
Best Practices & Tipps
- Speichern Sie niemals Geheimnisse in der Nutzlast: Die JWT-Nutzlast ist lediglich Base64-codiert, nicht verschlüsselt. Jeder kann es entschlüsseln. Speichern Sie niemals Passwörter, Sozialversicherungsnummern oder API-Schlüssel in der Token-Nutzlast.
- Erzwingen Sie kurze Ablauffristen (EXP): Zustandslose JWTs können nach ihrer Ausstellung nicht einfach widerrufen werden. Legen Sie den „exp“-Anspruch immer auf 15 oder 30 Minuten fest und verwenden Sie sichere HttpOnly-Aktualisierungstoken, um neue auszugeben.
- Signatur auf dem Server validieren: Das Dekodieren der Nutzlast auf dem Frontend ist für die UI-Logik in Ordnung, aber Ihre Backend-API muss die Signatur mithilfe Ihres geheimen Schlüssels kryptografisch überprüfen, bevor sie Daten als vertrauenswürdig ansieht.