JWT چیست، کجا به کار می‌آید و چه خطاهایی گران‌سر است؟

JWT (JSON Web Token) توکنی متنی با سه بخش Base64 است: هدر، payload (claims)، و امضا. سرور بدون نگه‌داشتن نشست، فقط امضا را چک می‌کند.

خطاهای رایج و پرهزینه

• alg: none: اگر کتابخانه اجازه بدهد توکنِ بدون امضا بپذیرد، احراز هویت کامل دور زده می‌شود؛ الگوریتم را whitelist کنید.
• عدم اعتبارسنجی exp و iss: توکن منقضی یا از سیستم دیگر نباید بپذیریده شود.
• ذخیرهٔ دادهٔ حساس در payload: Base64 «رمزنگاری» نیست؛ هرکس payload را می‌بیند.
• بدون مکانیزم ابطال: برای خروج کاربر/فیلتر توکن سرقتی، لیست سیاه کوتاه‌عمر لازم است.

با ابزار رمزگشای JWT می‌توانید هدر و payload هر توکنی را بخوانید و ابهام‌های امنیتی‌اش را ببینید — بدون ارسال به هیچ سروری.

🔗 ابزار مرتبط: رمزگشای JWT