JWT پارسر

جی ہاں، اس ٹول کے ساتھ۔ تمام پروسیسنگ 100% آپ کے براؤزر میں ہوتی ہے۔ آپ کے ٹوکن کبھی کسی سرور کو نہیں بھیجے جاتے۔ تاہم، ان دیگر آن لائن ٹولز سے خبردار رہیں جو آپ کے ٹوکن اپنے سرور بھیج سکتے ہیں۔

HMAC پر مبنی ٹوکنز (HS256 وغیرہ) کے لیے سیکریٹ کی ہونے پر آپ signature کی تصدیق کر سکتے ہیں۔ RSA پر مبنی ٹوکنز (RS256 وغیرہ) کے لیے پبلک کی درکار ہے۔ یاد رہے، آپ کی سہولت کے لیے یہ تصدیق کلائنٹ سائیڈ پر ہی ہوتی ہے۔

جب موجودہ وقت پے لوڈ کے "exp" (اختتام) claim سے آگے نکل جائے تو JWT ختم شدہ سمجھا جاتا ہے۔ یہ ٹول انہی وقت کے claims کی بنیاد پر بتاتا ہے کہ ٹوکن ختم شدہ ہے، فعال ہے، یا ابھی درست نہیں۔

آپ پے لوڈ تبدیل کر سکتے ہیں، لیکن دستخط کی نہ ہونے پر signature دوبارہ درست نہیں رہے گا۔ یہی JWT کا سیکیورٹی میکانزم ہے — کوئی بھی تبدیلی signature کو غلط بنا دیتی ہے۔

"exp" (اختتام) بتاتا ہے کہ ٹوکن کب غیر درست ہو جائے گا، جبکہ "nbf" (اس سے پہلے نہیں) بتاتا ہے کہ ٹوکن کب سے درست ہوگا۔ مثلاً مستقبل میں درست ہونے والا ٹوکن بنانے کے لیے آپ "nbf" سیٹ کر سکتے ہیں۔

نہیں! JWT پے لوڈ base64 میں انکوڈ ہوتا ہے، انکرپٹ نہیں۔ کوئی بھی اس کا مواد ڈی کوڈ کر پڑھ سکتا ہے۔ JWT میں کبھی پاس ورڈ، API کیز یا دیگر حساس معلومات شامل نہ کریں۔

پروڈکشن ایپلیکیشنز کے لیے RS256 یا ES256 جیسے غیر ہم مرکز الگورتھم استعمال کریں۔ "none" الگورتھم سے بچیں کیونکہ وہ کوئی سیکیورٹی نہیں دیتا۔ HS256 بھی چل سکتا ہے، مگر اس میں سیکریٹ کا محتاط انتظام ضروری ہے۔

JWT اس طرح ڈیزائن ہوا ہے کہ بغیر خاص ٹول کے ڈی کوڈ ہو سکے۔ ہیڈر اور پے لوڈ محض base64-انکوڈڈ JSON ہیں۔ یہ ٹول JavaScript سے انہیں ڈی کوڈ کر کے آپ کے براؤزر میں دکھاتا ہے۔ کسی سرور رابطے کی ضرورت نہیں۔