JWT Oluşturucu ve Kodlayıcı

JWT Kodlayıcı nedir?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Temel Özellikler

Örnekler

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Nasıl Kullanılır

1. 1

   Payload Claim'lerini Düzenleyin

   Token'ınızın ihtiyaç duyduğu claim'leri payload editörüne JSON olarak yazın. Zaman damgalarını elle yazmadan iss, sub, aud, iat, nbf ya da bir saatlik bir exp eklemek için hızlı claim çiplerini kullanın.

2. 2

   Algoritmayı Seçin ve Anahtarı Girin

   Bir imzalama algoritması seçin. HS256/384/512 için bir gizli anahtar girin; RS, PS ya da ES algoritmaları için bir PKCS8 PEM özel anahtarı yapıştırın. Token siz yazdıkça yerel olarak imzalanır.

3. 3

   İmzalı JWT'yi Kopyalayın

   İmzalı token, segmentlere göre renk kodlu olarak anında görünür. Bir Authorization header'ına, curl komutuna ya da teste taşımak için Kopyala'ya tıklayın. Anahtarınız tarayıcınızdan asla ayrılmadı.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Yaygın Kullanım Senaryoları

API Testi İçin Token Üretin

Korumalı bir endpoint'i curl, Postman ya da bir entegrasyon testinden çalıştırmak için saniyeler içinde bir HS256 Bearer token'ı üretin.

OAuth ve OIDC Token'larını Yeniden Üretin

Yetkilendirme sunucunuzun verdiğini yansıtan bir RS256 veya ES256 token'ı oluşturarak claim ve audience uyumsuzluklarını ayıklayın.

Test Fixture'ları Oluşturun

Tam bir kimlik doğrulama sunucusu ayağa kaldırmadan birim ve entegrasyon testleri için deterministik imzalı token'lar üretin.

Yetkilendirme Hatalarını Ayıklayın

Bir backend'in bir token'ı neden reddettiğini bulmak için bir müşterinin token yapısını — issuer, audience, scope, son kullanma — yeniden oluşturun.

Bir Doğrulayıcıyı Sınayın

Bilinen bir anahtarla token imzalayarak doğrulama ara katmanınızın geçerli token'ları kabul edip değiştirilmiş olanları reddettiğini onaylayın.

Kimlik Doğrulama Akışlarını Prototipleyin

Yeni bir oturum açma, mikroservis ya da servis-arası çağrıyı kurarken ekip arkadaşlarınıza kullanıma hazır token'lar verin.

Teknik Ayrıntılar

RFC 7519 / 7515 / 7518 Uyumlu

RFC 7519 (JWT), RFC 7515 (JWS) ve RFC 7518 (JWA) ile uyumlu JWS token'ları üretir; header'da kayıtlı algoritma tanımlayıcılarıyla.

Yerel Web Crypto İmzalama

HMAC, RSASSA-PKCS1-v1_5, RSA-PSS ve ECDSA için crypto.subtle aracılığıyla imzalar. ECDSA imzaları, JWS'in tam olarak gerektirdiği gibi ham r||s olarak üretilir.

Base64URL, Sıfır Bağımlılık

Header ve payload, URL-güvenli alfabeyle (RFC 4648) ve dolgu olmadan Base64URL kodlanır. Dış kütüphane yok, ağ çağrısı yok, telemetri yok.

En İyi Uygulamalar

Her Zaman Bir Son Kullanma Ayarlayın

Sızdırılan bir token'ın geçerliliğini yitirmesi için bir exp claim'i ekleyin. Kısa ömürler zarar yarıçapını küçültür — erişim token'ları için günler değil dakikalar.

Sırları Payload'ın Dışında Tutun

Bir JWT payload'ı, token'a sahip olan herkes tarafından okunabilir. İçine tanımlayıcıları ve scope'ları koyun; asla parolaları, API anahtarlarını ya da tüm PII'yi değil.

Üretimde Sunucu Tarafında İmzalayın

Bu aracı testler ve hata ayıklama için kullanın. Gerçek sistemlerde token'ları sunucuda, bakımı yapılan bir kütüphane ve secrets manager'ınızdan bir anahtarla imzalayın.

Sıkça Sorulan Sorular