Koder i generator JWT

Czym jest koder JWT?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Kluczowe funkcje

Przykłady

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Jak używać

1. 1

   Edytuj claims w payload

   Wpisz claims, których potrzebuje token, jako JSON w edytorze payload. Użyj chipów szybkiego claim, aby wstawić iss, sub, aud, iat, nbf lub jednogodzinny exp bez wpisywania timestampów.

2. 2

   Wybierz algorytm i wpisz klucz

   Wybierz algorytm podpisu. Dla HS256/384/512 wpisz sekret; dla algorytmów RS, PS lub ES wklej klucz prywatny PKCS8 PEM. Token jest podpisywany lokalnie w trakcie pisania.

3. 3

   Skopiuj podpisany JWT

   Podpisany token pojawia się natychmiast, oznaczony kolorami segmentów. Kliknij Kopiuj, aby przenieść go do nagłówka Authorization, polecenia curl lub testu. Twój klucz nigdy nie opuścił przeglądarki.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Typowe zastosowania

Generowanie tokenów do testów API

Wygeneruj token Bearer HS256 w kilka sekund, aby sprawdzić chroniony endpoint z curl, Postmana lub testu integracyjnego.

Odtwarzanie tokenów OAuth i OIDC

Zbuduj token RS256 lub ES256 odzwierciedlający to, co wystawia Twój serwer autoryzacji, aby zdebugować niezgodności claim i audience.

Tworzenie fixture testowych

Wytwórz deterministyczne podpisane tokeny do testów jednostkowych i integracyjnych bez stawiania pełnego serwera uwierzytelniania.

Debugowanie błędów autoryzacji

Odtwórz kształt tokena klienta — issuer, audience, scope, wygaśnięcie — aby znaleźć przyczynę, dla której backend go odrzuca.

Walidacja weryfikatora

Podpisuj tokeny znanym kluczem, aby potwierdzić, że Twoja warstwa weryfikacji akceptuje poprawne tokeny i odrzuca zmodyfikowane.

Prototypowanie przepływów uwierzytelniania

Przekaż współpracownikom gotowe do użycia tokeny podczas budowania nowego logowania, mikroserwisu lub wywołania między usługami.

Szczegóły techniczne

Zgodność z RFC 7519 / 7515 / 7518

Tworzy tokeny JWS zgodne z RFC 7519 (JWT), RFC 7515 (JWS) i RFC 7518 (JWA), z zarejestrowanymi identyfikatorami algorytmów w header.

Natywne podpisywanie Web Crypto

Podpisuje przez crypto.subtle dla HMAC, RSASSA-PKCS1-v1_5, RSA-PSS i ECDSA. Podpisy ECDSA są emitowane jako surowe r||s, dokładnie tak, jak wymaga JWS.

Base64URL, zero zależności

Header i payload są kodowane w Base64URL alfabetem bezpiecznym dla URL-i (RFC 4648), bez paddingu. Bez bibliotek zewnętrznych, bez wywołań sieciowych, bez telemetrii.

Dobre praktyki

Zawsze ustawiaj wygaśnięcie

Dodaj claim exp, aby token, który wyciekł, przestał być ważny. Krótkie czasy życia zmniejszają zasięg szkód — minuty dla tokenów dostępu, a nie dni.

Trzymaj sekrety poza payload

Payload JWT jest czytelny dla każdego, kto ma token. Umieszczaj w nim identyfikatory i scope; nigdy haseł, kluczy API ani pełnych danych osobowych.

Podpisuj po stronie serwera na produkcji

Używaj tego narzędzia do testów i debugowania. W prawdziwych systemach podpisuj tokeny na serwerze utrzymywaną biblioteką i kluczem z menedżera sekretów.

Najczęściej zadawane pytania