Tạo và ký JWT

Công cụ làm gì

JSON Web Token (JWT, RFC 7519) là một chuỗi gọn, an toàn cho URL, gồm ba phần ngăn bởi dấu chấm: header ghi thuật toán ký, payload chứa các claim, và chữ ký trên hai phần đầu. API dùng JWT làm bearer token, nhà cung cấp danh tính dùng làm ID token.

Công cụ này tạo và ký token từ payload JSON. Hỗ trợ:

• HS256, HS384, HS512: HMAC với khóa bí mật chung, dạng văn bản hoặc Base64.
• RS256, RS384, RS512 và PS256, PS384, PS512: chữ ký RSA với khóa riêng PEM.
• ES256, ES384, ES512: chữ ký ECDSA với khóa riêng EC.

Cách sử dụng

1. Viết payload dưới dạng đối tượng JSON, hoặc bấm Ví dụ.
2. Chọn Thuật toán rồi nhập khóa bí mật hoặc dán khóa riêng PEM ở đầu ô nhập.
3. Tùy chọn đặt iat là thời điểm hiện tại, thêm thời hạn (exp) hoặc trường header bổ sung như mã khóa.
4. Sao chép token ở đầu ra. Dán vào trình giải mã JWT để xem nội dung.

Ví dụ

Với khóa bí mật your-256-bit-secret, payload dưới đây ký bằng HS256 cho ra token ví dụ quen thuộc trên jwt.io:

{"sub":"1234567890","name":"John Doe","iat":1516239022}

Header luôn được ghi là {"alg":"HS256","typ":"JWT"}, theo sau là các trường bổ sung bạn thêm; alg luôn theo thuật toán đã chọn.

Thực hành tốt

Giữ token sống ngắn bằng claim exp, và đặt iss cùng aud để token của dịch vụ này không bị dùng lại ở dịch vụ khác. Trên máy chủ, luôn xác minh chữ ký với danh sách thuật toán cho phép rõ ràng và từ chối none. Khóa bí mật HMAC nên dài và ngẫu nhiên, ít nhất bằng độ dài đầu ra của hàm băm (32 byte với HS256).