JWT पढ़ना: दिखने वाले दावे सत्यापित दावे नहीं हैं
इंटीग्रेशन बनाते समय JWT के फ़ील्ड देखना निदान में सहायक है। पढ़ लेने से सामग्री सिद्ध तथ्य या कार्य करने की अनुमति नहीं बनती।
पढ़ने से क्या दिख सकता है?
3 भाग वाले कॉम्पैक्ट रूप में एन्कोडेड हेडर और पेलोड पढ़े जा सकते हैं। इनमें एल्गोरिदम, विषय, लक्षित प्राप्तकर्ता और समाप्ति के दावे हो सकते हैं।
टूल संरचना स्थानीय रूप से दिखाता है; JWE टोकन डिक्रिप्ट नहीं करता। पढ़ने योग्य पेलोड में जानकारी डालना उसे टोकन रखने वाले से छिपाता भी नहीं।
संदर्भ: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
डिकोड करना जारीकर्ता को प्रमाणित करना नहीं
भरोसे के लिए क्रिप्टोग्राफिक जाँच और ऐप का अपेक्षित संदर्भ चाहिए। हेडर में एल्गोरिदम या पेलोड में अनुमति सही जारीकर्ता का प्रमाण नहीं है।
यहाँ हमेशा verified=false रहता है: हस्ताक्षर, जारीकर्ता पहचान, समाप्ति और प्राधिकरण नहीं जाँचे जाते। पहुँच का निर्णय ऐप की स्वीकृत सत्यापन प्रणाली से लें, डिकोडर के टेक्स्ट से नहीं।
संदर्भ: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
समय समझें और टोकन सावधानी से रखें
मानक exp Unix युग से सेकंड है, मिलीसेकंड या स्थानीय तारीख नहीं। तारीख पढ़ना वर्तमान घड़ी से तुलना करके जाँचना नहीं है।
असली टोकन चैट, सहायता दस्तावेज़ या सार्वजनिक स्क्रीनशॉट में न डालें। कृत्रिम डेटा से सीखें; बदला टोकन पढ़ लेना उसके स्वीकार होने का प्रमाण नहीं।
संदर्भ: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
निदान का उदाहरण, अनुमति देने वाला नहीं
कृत्रिम पेलोड {"sub":"example-reader","exp":1893456000} का exp 2030-01-01T00:00:00Z है। यह फ़ील्ड का अर्थ है, भरोसेमंद सिस्टम द्वारा जारी होने का प्रमाण नहीं।
क्रिप्टोग्राफिक रूप से गलत हस्ताक्षर के साथ भी पढ़ने योग्य पेलोड डिकोड हो सकता है; परिणाम verified=false ही है। sub या exp बदलना नए टोकन को अधिकृत नहीं करता, और लंबा हस्ताक्षर देखकर सही नहीं ठहराया जा सकता।