Et oui, tout le monde! Lucas ici de São Paulo.
Lors de la mise en œuvre des connexions utilisateur dans les applications Web modernes, les jetons Web JSON (JWT) constituent la norme de l'industrie. Mais je vois beaucoup de développeurs utiliser des bibliothèques pour gérer les JWT sans comprendre ce qu'ils sont réellement.
Les trois parties d'un JWT
Si vous regardez un JWT, il ne s'agit que de trois chaînes d'apparence aléatoire séparées par des points : `header.payload.signature`.La plus grande idée fausse est que les JWT sont cryptés. Ils ne le sont PAS. L'en-tête et la charge utile sont simplement codés en Base64. Quiconque intercepte le jeton peut le décoder et lire votre charge utile (c'est pourquoi vous ne devez jamais y insérer de mots de passe ou d'informations sensibles !).
La troisième partie, la signature, est ce qui assure la sécurité. Cela prouve que le jeton a été généré par votre serveur et n'a pas été falsifié.
Jetons de décodage pour le débogage
Lorsque je débogue des problèmes d'authentification frontale, j'utilise toujours l'outil local JWT Decoder. Je colle le jeton et il me montre instantanément la charge utile JSON afin que je puisse vérifier si les rôles d'utilisateur et les horodatages d'expiration sont corrects. Étant donné que l'outil s'exécute entièrement dans le navigateur, mes jetons de session ne sont jamais exposés à un tiers.Comprenez vos outils et vous écrirez un bien meilleur code !