JSON Web Token (JWT) ની રચના અને કાર્યપદ્ધતિ
JSON Web Token (JWT) એ બે પક્ષો વચ્ચે સુરક્ષિત રીતે માહિતી ટ્રાન્સફર કરવા માટેનો એક ઓપન સ્ટાન્ડર્ડ (RFC 7519) ફોર્મેટ છે. આ માહિતીને ડિજિટલ રીતે સાઇન કરેલી હોવાને કારણે તેના પર વિશ્વાસ કરી શકાય છે અને તેને વેરિફાય કરી શકાય છે. એક સામાન્ય JWT ત્રણ ભાગો ધરાવે છે, જે એકબીજાથી ડોટ (.) દ્વારા અલગ પડે છે:
- હેડર: આ ભાગમાં ટોકનનો પ્રકાર અને સાઇનિંગ માટે વપરાયેલ અલ્ગોરિધમની માહિતી હોય છે.
- પેલોડ: આ ભાગમાં ક્લેઇમ્સ (Claims) હોય છે, જે યુઝર અને વધારાના ડેટા વિશેની માહિતી ધરાવે છે.
- સિગ્નેચર (Signature): આ ભાગ હેડર, પેલોડ અને સિક્રેટ કીનો ઉપયોગ કરીને ટોકનની સુરક્ષા સુનિશ્ચિત કરવા માટે બનાવવામાં આવે છે.
આ ત્રણેય ભાગોને Base64URL એન્કોડિંગ ફોર્મેટમાં રૂપાંતરિત કરીને એક સિંગલ સ્ટ્રિંગ બનાવવામાં આવે છે, જે વેબ વિનંતીઓમાં સરળતાથી મોકલી શકાય છે.
JWT હેડર અને પેલોડના સામાન્ય ક્લેઇમ્સ
હેડર
હેડર સામાન્ય રીતે બે ભાગ ધરાવે છે: ટોકનનો પ્રકાર (જે સામાન્ય રીતે JWT હોય છે) અને વપરાયેલ સાઇનિંગ અલ્ગોરિધમ, જેમ કે HMAC SHA256 (HS256) અથવા RSA (RS256). હેડરમાં રહેલા મુખ્ય ક્લેઇમ્સ નીચે મુજબ છે:
alg: સાઇનિંગ અલ્ગોરિધમ દર્શાવે છે (જેમ કે HS256).typ: ટોકનનો પ્રકાર દર્શાવે છે.
પેલોડ
પેલોડમાં ક્લેઇમ્સ હોય છે, જે સ્ટેટમેન્ટ્સ અથવા યુઝર પ્રોફાઇલ ડેટા છે. આ ક્લેઇમ્સ ત્રણ પ્રકારના હોય છે: રજિસ્ટર્ડ, પબ્લિક અને પ્રાઇવેટ ક્લેઇમ્સ. પેલોડમાં જોવા મળતા સામાન્ય રજિસ્ટર્ડ ક્લેઇમ્સ:
iat(Issued At): ટોકન કયા સમયે ઇશ્યૂ કરવામાં આવ્યું હતું તેનો સમય દર્શાવે છે.exp(Expiration Time): ટોકન ક્યારે એક્સપાયર થશે તે સમય દર્શાવે છે.sub(Subject): ટોકન કોના માટે છે તે વિષય દર્શાવે છે.
Base64URL એન્કોડિંગ અને JSON ફોર્મેટિંગ
JWT માં રહેલી માહિતીને નેટવર્ક પર સુરક્ષિત રીતે ટ્રાન્સફર કરવા માટે Base64URL એન્કોડિંગનો ઉપયોગ કરવામાં આવે છે. આ એન્કોડિંગ સ્ટાન્ડર્ડ Base64 જેવું જ છે, પરંતુ તેમાં URL માં સમસ્યા ન સર્જાય તે માટે પ્લસ (+), સ્લેશ (/) અને ઇક્વલ (=) જેવા અક્ષરોને બદલવામાં અથવા દૂર કરવામાં આવે છે.
હેડર અને પેલોડ બંને મૂળભૂત રીતે JSON (JavaScript Object Notation) ફોર્મેટમાં હોય છે. ડીકોડિંગ પ્રક્રિયા દરમિયાન, આ Base64URL સ્ટ્રિંગને પાછી મૂળ JSON ફોર્મેટમાં રૂપાંતરિત કરવામાં આવે છે, જેથી તેને સરળતાથી વાંચી શકાય અને સમજી શકાય.
ડીકોડિંગ અને વેરિફિકેશન વચ્ચેનો તફાવત
ઘણા ડેવલપર્સ ડીકોડિંગ (Decoding) અને વેરિફિકેશન (Verification) વચ્ચે મૂંઝવણ અનુભવે છે:
- ડીકોડિંગ: આ પ્રક્રિયામાં માત્ર Base64URL એન્કોડેડ સ્ટ્રિંગને માનવ-વાંચન યોગ્ય JSON ફોર્મેટમાં રૂપાંતરિત કરવામાં આવે છે. આ માટે કોઈ સિક્રેટ કી અથવા પબ્લિક કીની જરૂર પડતી નથી. કોઈપણ વ્યક્તિ જેની પાસે ટોકન છે તે તેને ડીકોડ કરી શકે છે.
- વેરિફિકેશન: આ પ્રક્રિયામાં ટોકનની સિગ્નેચર તપાસવામાં આવે છે જેથી ખાતરી કરી શકાય કે ટોકન સાથે કોઈ છેડછાડ કરવામાં આવી નથી. આ માટે સાઇનિંગ સિક્રેટ અથવા પબ્લિક કીની જરૂર પડે છે.
જો તમે સિગ્નેચર વેરિફાય કર્યા વિના માત્ર પેલોડના ડેટા પર વિશ્વાસ કરો છો, તો તે સુરક્ષા માટે જોખમી સાબિત થઈ શકે છે, કારણ કે કોઈપણ વ્યક્તિ પેલોડમાં ફેરફાર કરીને નવું ટોકન બનાવી શકે છે.
JWT ડીકોડર ટૂલના નિયમો અને ભૂલોના સંદેશા
આ ટૂલ ઇનપુટ કરેલા ટોકનને તપાસવા માટે ચોક્કસ નિયમોનું પાલન કરે છે અને ભૂલ હોવાના કિસ્સામાં નીચે મુજબના સંદેશા દર્શાવે છે:
- જો ઇનપુટ ખાલી હોય, તો ટૂલ "તૈયાર છે. ડીકોડ કરવા માટે JWT પેસ્ટ કરો." સ્ટેટસમાં રહે છે.
- જો ઇનપુટમાં ત્રણ ભાગ ન હોય, તો "માન્ય JWT નથી — ત્રણ ડોટ-સેપરેટેડ ભાગો અપેક્ષિત છે." ભૂલ દર્શાવે છે.
- જો હેડર અમાન્ય Base64URL હોય, તો "હેડર ડીકોડ કરી શકાયું નથી — અમાન્ય Base64URL." જોવા મળે છે.
- જો પેલોડ અમાન્ય Base64URL હોય, તો "પેલોડ ડીકોડ કરી શકાયું નથી — અમાન્ય Base64URL." જોવા મળે છે.
- જો હેડર યોગ્ય JSON ન હોય, તો "હેડર માન્ય JSON નથી." સંદેશ દેખાય છે.
- જો પેલોડ યોગ્ય JSON ન હોય, તો "પેલોડ માન્ય JSON નથી." સંદેશ દેખાય છે.
- જો ઇનપુટ ખૂબ મોટું હોય, તો "વાસ્તવિક JWT હોવા માટે તે ખૂબ લાંબું છે." ભૂલ દર્શાવે છે.
- જ્યારે અમાન્ય ટોકન આપવામાં આવે છે, ત્યારે ડીકોડ થયેલા એરિયા છુપાવી દેવામાં આવે છે.
- જ્યારે ઇનપુટ સાફ કરવામાં આવે છે, ત્યારે ફોકસ ફરીથી ઇનપુટ ફીલ્ડ પર આવી જાય છે.
પ્રાઇવસી અને ડેટા પ્રોસેસિંગ
તમારી સુરક્ષા અને પ્રાઇવસી અમારા માટે મહત્વપૂર્ણ છે. તમારું ટોકન સંપૂર્ણપણે તમારા પોતાના વેબ બ્રાઉઝરમાં જ ડીકોડ થાય છે. BroBroGo પર કોઈપણ પ્રકારનો ડેટા અથવા ટોકન અપલોડ કરવામાં આવતો નથી. આ પ્રક્રિયા સ્થાનિક સ્તરે થતી હોવાથી તમારો સંવેદનશીલ ડેટા તમારા ઉપકરણની બહાર ક્યારેય જતો નથી.
વારંવાર પૂછાતા પ્રશ્નો (FAQ)
શું મારો JWT અહીં પેસ્ટ કરવો સુરક્ષિત છે?
હા. ડીકોડિંગ સંપૂર્ણપણે તમારા બ્રાઉઝરમાં થાય છે — તમારું ટોકન ક્યારેય BroBroGo પર મોકલવામાં આવતું નથી.
શું આ સિગ્નેચર વેરિફાય કરે છે?
ના. તે તમારા વાંચવા માટે માત્ર હેડર અને પેલોડને ડીકોડ કરે છે. સિગ્નેચર વેરિફાય કરવા માટે સાઇનિંગ સિક્રેટ અથવા પબ્લિક કીની જરૂર પડે છે, જે આ ટૂલ ક્યારેય પૂછતું નથી.
મારું ટોકન એક્સપાયર થઈ ગયું છે કે નહીં તે મને કેવી રીતે ખબર પડે?
ડીકોડર exp ક્લેમ રીડ કરે છે અને ડીકોડ કરેલા ટોકનની બાજુમાં સ્ટેટસ બેજ — માન્ય, એક્સપાયર્ડ, હજી માન્ય નથી, અથવા કોઈ એક્સપાયરી નથી — દર્શાવે છે.
જો ટોકનમાં exp ક્લેઇમ ન હોય તો શું સ્ટેટસ દર્શાવવામાં આવે છે?
જો ટોકનમાં કોઈ exp (Expiration) ક્લેઇમ ઉપલબ્ધ ન હોય, તો ટૂલ સ્ટેટસ તરીકે "કોઈ એક્સપાયરી નથી" દર્શાવે છે.