JWT ರಚನೆ ಮತ್ತು ಅದರ ಕಾರ್ಯವಿಧಾನ
JSON Web Token (JWT) ಎಂಬುದು ಎರಡು ಪಕ್ಷಗಳ ನಡುವೆ ಮಾಹಿತಿಯನ್ನು ಸುರಕ್ಷಿತವಾಗಿ ವರ್ಗಾಯಿಸಲು ಬಳಸುವ ಒಂದು ಕಾಂಪ್ಯಾಕ್ಟ್ ಮತ್ತು ಸ್ವಯಂ-ಒಳಗೊಂಡಿರುವ ಸಾಧನವಾಗಿದೆ. ಒಂದು ಪ್ರಮಾಣಿತ JWT ಮೂರು ಪ್ರತ್ಯೇಕ ಭಾಗಗಳನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ, ಇವುಗಳನ್ನು ಚುಕ್ಕೆಗಳ (.) ಮೂಲಕ ಪ್ರತ್ಯೇಕಿಸಲಾಗಿರುತ್ತದೆ. ಈ ಮೂರು ಭಾಗಗಳೆಂದರೆ:
- ಹೆಡರ್: ಇದು ಟೋಕನ್ನ ಪ್ರಕಾರ ಮತ್ತು ಸಹಿ ಮಾಡಲು ಬಳಸಲಾದ ಅಲ್ಗಾರಿದಮ್ನಂತಹ ಮೆಟಾಡೇಟಾವನ್ನು ಹೊಂದಿರುತ್ತದೆ.
- ಪೇಲೋಡ್: ಇದು ಕ್ಲೈಮ್ಗಳನ್ನು (Claims) ಒಳಗೊಂಡಿರುತ್ತದೆ. ಬಳಕೆದಾರರ ವಿವರಗಳು, ಟೋಕನ್ ರಚನೆಯಾದ ಸಮಯ ಮತ್ತು ಅದರ ಅವಧಿ ಮುಕ್ತಾಯದ ಮಾಹಿತಿಯು ಇಲ್ಲಿರುತ್ತದೆ.
- ಸಿಗ್ನೇಚರ್ (Signature): ಟೋಕನ್ ಹಾದಿಯಲ್ಲಿ ಎಲ್ಲೂ ಬದಲಾವಣೆಗೆ ಒಳಗಾಗಿಲ್ಲ ಎಂಬುದನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು ಇದನ್ನು ಬಳಸಲಾಗುತ್ತದೆ.
ಈ ಮೂರು ಭಾಗಗಳನ್ನು Base64URL ಎನ್ಕೋಡಿಂಗ್ ವಿಧಾನವನ್ನು ಬಳಸಿ ಎನ್ಕೋಡ್ ಮಾಡಲಾಗಿರುತ್ತದೆ. JWT ಡಿಕೋಡರ್ ಉಪಕರಣವು ಈ ಎನ್ಕೋಡ್ ಮಾಡಲಾದ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಸ್ವೀಕರಿಸಿ, ಅದನ್ನು ಮರಳಿ ಓದಬಹುದಾದ JSON ರೂಪಕ್ಕೆ ಪರಿವರ್ತಿಸುತ್ತದೆ.
ಇನ್ಪುಟ್ ನಿಯಮಗಳು ಮತ್ತು ದೋಷ ಸಂದೇಶಗಳು
ಉಪಕರಣವು ಸರಿಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಲು ಇನ್ಪುಟ್ ಬಾಕ್ಸ್ನಲ್ಲಿ ನಮೂದಿಸುವ JWT ಕೆಲವು ನಿರ್ದಿಷ್ಟ ನಿಯಮಗಳನ್ನು ಪಾಲಿಸಬೇಕಾಗುತ್ತದೆ. ನಿಯಮಗಳು ಉಲ್ಲಂಘನೆಯಾದಾಗ ಸಿಸ್ಟಮ್ ಸೂಕ್ತ ದೋಷ ಸಂದೇಶಗಳನ್ನು ಪ್ರದರ್ಶಿಸುತ್ತದೆ ಮತ್ತು ಡಿಕೋಡ್ ಮಾಡಿದ ಭಾಗಗಳನ್ನು ಮರೆಮಾಡುತ್ತದೆ:
- ಖಾಲಿ ಇನ್ಪುಟ್: ಇನ್ಪುಟ್ ಕ್ಷೇತ್ರವು ಖಾಲಿಯಾಗಿದ್ದಾಗ, ಉಪಕರಣವು "ಸಿದ್ಧವಾಗಿದೆ. ಡಿಕೋಡ್ ಮಾಡಲು JWT ಅನ್ನು ಪೇಸ್ಟ್ ಮಾಡಿ." ಎಂಬ ಸ್ಥಿತಿಯಲ್ಲಿರುತ್ತದೆ.
- ರಚನೆಯ ದೋಷ: ಇನ್ಪುಟ್ ಮೂರು ಚುಕ್ಕೆಗಳಿಂದ ಪ್ರತ್ಯೇಕಿಸಲ್ಪಟ್ಟ ಭಾಗಗಳನ್ನು ಹೊಂದಿಲ್ಲದಿದ್ದರೆ, "ಇದು ಮಾನ್ಯವಾದ JWT ಅಲ್ಲ — ಮೂರು ಚುಕ್ಕೆಗಳಿಂದ ಪ್ರತ್ಯೇಕಿಸಲ್ಪಟ್ಟ ಭಾಗಗಳನ್ನು ನಿರೀಕ್ಷಿಸಲಾಗಿತ್ತು." ಎಂಬ ದೋಷ ಸಂದೇಶ ಬರುತ್ತದೆ.
- ಅತಿ ಉದ್ದವಾದ ಇನ್ಪುಟ್: ನಮೂದಿಸಿದ ಸ್ಟ್ರಿಂಗ್ ಅತಿ ಹೆಚ್ಚು ಉದ್ದವಾಗಿದ್ದರೆ, ಉಪಕರಣವು "ಇದು ನಿಜವಾದ JWT ಆಗಿರಲು ತುಂಬಾ ಉದ್ದವಾಗಿದೆ." ಎಂದು ತೋರಿಸುತ್ತದೆ.
- Base64URL ಡಿಕೋಡಿಂಗ್ ದೋಷಗಳು: ಹೆಡರ್ ಅಥವಾ ಪೇಲೋಡ್ ಅನ್ನು Base64URL ನಿಂದ ಡಿಕೋಡ್ ಮಾಡಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ಕ್ರಮವಾಗಿ "ಹೆಡರ್ ಅನ್ನು ಡಿಕೋಡ್ ಮಾಡಲು ಸಾಧ್ಯವಾಗಲಿಲ್ಲ — ಅಮಾನ್ಯ Base64URL." ಅಥವಾ "ಪೇಲೋಡ್ ಅನ್ನು ಡಿಕೋಡ್ ಮಾಡಲು ಸಾಧ್ಯವಾಗಲಿಲ್ಲ — ಅಮಾನ್ಯ Base64URL." ಎಂಬ ಸಂದೇಶಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ.
- ಅಮಾನ್ಯ JSON: ಡಿಕೋಡ್ ಮಾಡಿದ ನಂತರದ ಡೇಟಾ ಸರಿಯಾದ JSON ರೂಪದಲ್ಲಿಲ್ಲದಿದ್ದರೆ, "ಹೆಡರ್ ಮಾನ್ಯವಾದ JSON ಅಲ್ಲ." ಅಥವಾ "ಪೇಲೋಡ್ ಮಾನ್ಯವಾದ JSON ಅಲ್ಲ." ಎಂಬ ದೋಷಗಳು ಎದುರಾಗುತ್ತವೆ.
ಬಳಕೆದಾರರು ಇನ್ಪುಟ್ ಅನ್ನು ತೆರವುಗೊಳಿಸಲು "ತೆರವುಗೊಳಿಸಿ" ಬಟನ್ ಒತ್ತಿದಾಗ, ಇನ್ಪುಟ್ ಕ್ಷೇತ್ರವು "ತೆರವುಗೊಳಿಸಲಾಗಿದೆ." ಎಂಬ ಸ್ಥಿತಿಗೆ ಮರಳುತ್ತದೆ ಮತ್ತು ಫೋಕಸ್ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಇನ್ಪುಟ್ ಕ್ಷೇತ್ರದ ಕಡೆಗೆ ಹೋಗುತ್ತದೆ.
ಹೆಡರ್ ಮತ್ತು ಪೇಲೋಡ್ ಕ್ಲೈಮ್ಗಳು
ಡಿಕೋಡ್ ಮಾಡಿದ ನಂತರ ಉಪಕರಣವು ಹೆಡರ್ ಮತ್ತು ಪೇಲೋಡ್ ವಿಭಾಗಗಳನ್ನು ಪ್ರತ್ಯೇಕ JSON ರೂಪದಲ್ಲಿ ಪ್ರದರ್ಶಿಸುತ್ತದೆ. ಇವುಗಳಲ್ಲಿ ಕಂಡುಬರುವ ಪ್ರಮುಖ ಕ್ಲೈಮ್ಗಳು ಮತ್ತು ವಿವರಗಳು ಈ ಕೆಳಗಿನಂತಿವೆ:
ಹೆಡರ್ ಕ್ಲೈಮ್ಗಳು
alg(ಅಲ್ಗಾರಿದಮ್): ಟೋಕನ್ ಅನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸಲು ಬಳಸಲಾದ ಸಹಿ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಇದು ಸೂಚಿಸುತ್ತದೆ (ಉದಾಹರಣೆಗೆ HS256 ಅಥವಾ RS256). ಉಪಕರಣದ ಔಟ್ಪುಟ್ನಲ್ಲಿ ಇದನ್ನು "ಅಲ್ಗಾರಿದಮ್" ಎಂದು ಗುರುತಿಸಲಾಗುತ್ತದೆ.typ(ಪ್ರಕಾರ): ಟೋಕನ್ನ ಪ್ರಕಾರವನ್ನು ಇದು ಸೂಚಿಸುತ್ತದೆ, ಸಾಮಾನ್ಯವಾಗಿ ಇದರ ಮೌಲ್ಯ "JWT" ಆಗಿರುತ್ತದೆ. ಉಪಕರಣದಲ್ಲಿ ಇದನ್ನು "ಪ್ರಕಾರ" ಎಂದು ಪ್ರದರ್ಶಿಸಲಾಗುತ್ತದೆ.
ಪೇಲೋಡ್ ಕ್ಲೈಮ್ಗಳು
iat(ರಚಿಸಲಾದ ಸಮಯ): ಟೋಕನ್ ಅನ್ನು ಯಾವ ಸಮಯದಲ್ಲಿ ರಚಿಸಲಾಗಿದೆ ಎಂಬುದನ್ನು ಇದು ಯುನಿಕ್ಸ್ ಸಮಯದ ಮುದ್ರೆ (Unix Timestamp) ರೂಪದಲ್ಲಿ ದಾಖಲಿಸುತ್ತದೆ. ಉಪಕರಣದಲ್ಲಿ ಇದನ್ನು "ರಚಿಸಲಾದ ಸಮಯ" ಎಂದು ತೋರಿಸಲಾಗುತ್ತದೆ.exp(ಮುಕ್ತಾಯಗೊಳ್ಳುತ್ತದೆ): ಟೋಕನ್ನ ಸಿಂಧುತ್ವವು ಯಾವ ಸಮಯಕ್ಕೆ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ ಎಂಬುದನ್ನು ಇದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಉಪಕರಣದಲ್ಲಿ ಇದನ್ನು "ಮುಕ್ತಾಯಗೊಳ್ಳುತ್ತದೆ" ಎಂದು ಪ್ರದರ್ಶಿಸಲಾಗುತ್ತದೆ.
ಟೋಕನ್ ಸ್ಥಿತಿ ಮತ್ತು ಸಿಂಧುತ್ವದ ಮೌಲ್ಯಮಾಪನ
ಉಪಕರಣವು ಪೇಲೋಡ್ನಲ್ಲಿರುವ exp (ಮುಕ್ತಾಯಗೊಳ್ಳುತ್ತದೆ) ಮತ್ತು iat (ರಚಿಸಲಾದ ಸಮಯ) ಕ್ಲೈಮ್ಗಳನ್ನು ಆಧರಿಸಿ ಟೋಕನ್ನ ಪ್ರಸ್ತುತ ಸ್ಥಿತಿಯನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ. ಇನ್ಪುಟ್ನ ಒಟ್ಟು ಉದ್ದವನ್ನು "ಅಕ್ಷರಗಳು" ಎಂಬ ಲೇಬಲ್ ಅಡಿಯಲ್ಲಿ ತೋರಿಸಲಾಗುತ್ತದೆ. ಟೋಕನ್ನ ಸಿಂಧುತ್ವಕ್ಕೆ ಅನುಗುಣವಾಗಿ ಕೆಳಗಿನ ಬ್ಯಾಡ್ಜ್ಗಳಲ್ಲಿ ಒಂದನ್ನು ಪ್ರದರ್ಶಿಸಲಾಗುತ್ತದೆ:
- ಮಾನ್ಯವಾಗಿದೆ: ಪ್ರಸ್ತುತ ಸಮಯವು ಟೋಕನ್ನ ಮುಕ್ತಾಯ ಸಮಯಕ್ಕಿಂತ ಮುಂಚಿತವಾಗಿದ್ದರೆ ಈ ಸ್ಥಿತಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ.
- ಅವಧಿ ಮುಗಿದಿದೆ: ಟೋಕನ್ನಲ್ಲಿ ನಮೂದಿಸಲಾದ ಮುಕ್ತಾಯ ಸಮಯವು ಈಗಾಗಲೇ ಕಳೆದುಹೋಗಿದ್ದರೆ ಈ ಸ್ಥಿತಿ ಬರುತ್ತದೆ.
- ಇನ್ನೂ ಮಾನ್ಯವಾಗಿಲ್ಲ: ಟೋಕನ್ನ ರಚನೆಯ ಸಮಯ ಅಥವಾ ಬಳಕೆಯ ಆರಂಭದ ಸಮಯವು ಭವಿಷ್ಯದಲ್ಲಿದ್ದರೆ ಈ ಸ್ಥಿತಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ.
- ಯಾವುದೇ ಮುಕ್ತಾಯವಿಲ್ಲ: ಟೋಕನ್ನ ಪೇಲೋಡ್ನಲ್ಲಿ
expಕ್ಲೈಮ್ ಇಲ್ಲದಿದ್ದರೆ ಈ ಸ್ಥಿತಿಯನ್ನು ಪ್ರದರ್ಶಿಸಲಾಗುತ್ತದೆ.
ಉಪಕರಣವು "ಇದು ಕೇವಲ exp ಕ್ಲೈಮ್ ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ — ಇದು ಸಹಿ, ವಿತರಕರು ಅಥವಾ ಪ್ರೇಕ್ಷಕರನ್ನು ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ." ಎಂಬ ಪ್ರಮುಖ ಸೂಚನೆಯನ್ನು ಸಹ ಪ್ರದರ್ಶಿಸುತ್ತದೆ.
ಡಿಕೋಡಿಂಗ್ ಮತ್ತು ವೆರಿಫೈಯಿಂಗ್ ನಡುವಿನ ವ್ಯತ್ಯಾಸ
JWT ಅನ್ನು ಡಿಕೋಡ್ ಮಾಡುವುದು ಮತ್ತು ವೆರಿಫೈ (ಪರಿಶೀಲನೆ) ಮಾಡುವುದು ಎರಡು ವಿಭಿನ್ನ ಪ್ರಕ್ರಿಯೆಗಳಾಗಿವೆ.
- ಡಿಕೋಡಿಂಗ್: ಇದು ಕೇವಲ Base64URL ಎನ್ಕೋಡ್ ಮಾಡಲಾದ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಮರಳಿ ಓದಬಹುದಾದ JSON ಪಠ್ಯವಾಗಿ ಪರಿವರ್ತಿಸುವ ಪ್ರಕ್ರಿಯೆಯಾಗಿದೆ. ಇದಕ್ಕೆ ಯಾವುದೇ ರಹಸ್ಯ ಕೀಲಿ (Secret Key) ಅಥವಾ ಸಾರ್ವಜನಿಕ ಕೀಲಿ (Public Key) ಅಗತ್ಯವಿರುವುದಿಲ್ಲ. ಯಾರಾದರೂ ಸುಲಭವಾಗಿ JWT ಅನ್ನು ಡಿಕೋಡ್ ಮಾಡಿ ಅದರ ಒಳಗಿರುವ ಮಾಹಿತಿಯನ್ನು ವೀಕ್ಷಿಸಬಹುದು.
- ವೆರಿಫೈಯಿಂಗ್: ಇದು ಟೋಕನ್ನ ಸಿಗ್ನೇಚರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವ ಪ್ರಕ್ರಿಯೆಯಾಗಿದೆ. ಟೋಕನ್ ಅನ್ನು ರಚಿಸಿದ ಸರ್ವರ್ನ ರಹಸ್ಯ ಕೀಲಿ ಅಥವಾ ಸಾರ್ವಜನಿಕ ಕೀಲಿಯನ್ನು ಬಳಸಿಕೊಂಡು, ಟೋಕನ್ ಹಾದಿಯಲ್ಲಿ ಮಾರ್ಪಾಡಾಗಿದೆಯೇ ಅಥವಾ ಇಲ್ಲವೇ ಎಂಬುದನ್ನು ಇದು ಖಚಿತಪಡಿಸುತ್ತದೆ.
ಈ ಉಪಕರಣವು ಕೇವಲ ಡಿಕೋಡರ್ ಆಗಿದ್ದು, ಸಿಗ್ನೇಚರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ. ಇದು ಬಳಕೆದಾರರಿಂದ ಯಾವುದೇ ಸಿಗ್ನಿಂಗ್ ಸೀಕ್ರೆಟ್ ಅಥವಾ ಪಬ್ಲಿಕ್ ಕೀಲಿಯನ್ನು ಕೇಳುವುದಿಲ್ಲ. ಸಿಗ್ನೇಚರ್ ಪರಿಶೀಲಿಸದ ಟೋಕನ್ನಲ್ಲಿರುವ ಮಾಹಿತಿಯನ್ನು ನಂಬುವುದು ಭದ್ರತೆಯ ದೃಷ್ಟಿಯಿಂದ ಅಪಾಯಕಾರಿಯಾಗಿದೆ, ಏಕೆಂದರೆ ದುರುದ್ದೇಶಪೂರಿತ ಬಳಕೆದಾರರು ಪೇಲೋಡ್ ಅನ್ನು ಮಾರ್ಪಡಿಸಿ ಕಳುಹಿಸಿರಬಹುದು.
ಗೌಪ್ಯತೆ ಮತ್ತು ಡೇಟಾ ಸಂಸ್ಕರಣೆ
ಈ ಉಪಕರಣವನ್ನು ಬಳಸುವಾಗ ನಿಮ್ಮ ಡೇಟಾದ ಗೌಪ್ಯತೆಗೆ ಯಾವುದೇ ಧಕ್ಕೆಯಾಗುವುದಿಲ್ಲ. ನಿಮ್ಮ ಟೋಕನ್ ಅನ್ನು ನಿಮ್ಮ ಬ್ರೌಸರ್ನಲ್ಲಿ ಡಿಕೋಡ್ ಮಾಡಲಾಗುತ್ತದೆ. BroBroGo ಗೆ ಏನನ್ನೂ ಅಪ್ಲೋಡ್ ಮಾಡಲಾಗುವುದಿಲ್ಲ. ಸಂಪೂರ್ಣ ಪ್ರಕ್ರಿಯೆಯು ಸ್ಥಳೀಯವಾಗಿ ನಿಮ್ಮದೇ ಸಾಧನದಲ್ಲಿ ನಡೆಯುವುದರಿಂದ, ಸೂಕ್ಷ್ಮ ಮಾಹಿತಿಯುಳ್ಳ ಟೋಕನ್ಗಳನ್ನು ಯಾವುದೇ ಆತಂಕವಿಲ್ಲದೆ ಇಲ್ಲಿ ಪೇಸ್ಟ್ ಮಾಡಬಹುದು. ಈ ಉಪಕರಣವನ್ನು ಡೆವಲಪರ್ಗಳು, ಸಪೋರ್ಟ್ ಎಂಜಿನಿಯರ್ಗಳು ಮತ್ತು ಸೆಕ್ಯುರಿಟಿ ಟೆಸ್ಟರ್ಗಳು ತಮ್ಮ ದೈನಂದಿನ ವಿಶ್ಲೇಷಣೆಗಾಗಿ ಬಳಸಬಹುದು.
ಸಾಮಾನ್ಯ ಪ್ರಶ್ನೆಗಳು (FAQ)
ನನ್ನ JWT ಅನ್ನು ಇಲ್ಲಿ ಪೇಸ್ಟ್ ಮಾಡುವುದು ಸುರಕ್ಷಿತವೇ?
ಹೌದು. ಡಿಕೋಡಿಂಗ್ ಸಂಪೂರ್ಣವಾಗಿ ನಿಮ್ಮ ಬ್ರೌಸರ್ನಲ್ಲೇ ನಡೆಯುತ್ತದೆ — ನಿಮ್ಮ ಟೋಕನ್ ಅನ್ನು ಎಂದಿಗೂ BroBroGo ಗೆ ಕಳುಹಿಸಲಾಗುವುದಿಲ್ಲ.
ಇದು ಸಿಗ್ನೇಚರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆಯೇ?
ಇಲ್ಲ. ಇದು ಕೇವಲ ಹೆಡರ್ ಮತ್ತು ಪೇಲೋಡ್ ಅನ್ನು ಡಿಕೋಡ್ ಮಾಡುತ್ತದೆ. ಸಿಗ್ನೇಚರ್ ಅನ್ನು ಪರಿಶೀಲಿಸಲು ಸಿಗ್ನಿಂಗ್ ಸೀಕ್ರೆಟ್ ಅಥವಾ ಪಬ್ಲಿಕ್ ಕೀ ಅಗತ್ಯವಿರುತ್ತದೆ, ಇದನ್ನು ಈ ಉಪಕರಣವು ಎಂದಿಗೂ ಕೇಳುವುದಿಲ್ಲ.
ನನ್ನ ಟೋಕನ್ ಅವಧಿ ಮುಗಿದಿದೆಯೇ ಎಂದು ನನಗೆ ಹೇಗೆ ತಿಳಿಯುವುದು?
ಡಿಕೋಡರ್ exp ಕ್ಲೈಮ್ ಅನ್ನು ಓದುತ್ತದೆ ಮತ್ತು ಡಿಕೋಡ್ ಮಾಡಿದ ಟೋಕನ್ ಪಕ್ಕದಲ್ಲಿ ಸ್ಥಿತಿ ಬ್ಯಾಡ್ಜ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ — ಮಾನ್ಯವಾಗಿದೆ, ಅವಧಿ ಮುಗಿದಿದೆ, ಇನ್ನೂ ಮಾನ್ಯವಾಗಿಲ್ಲ, ಅಥವಾ ಯಾವುದೇ ಮುಕ್ತಾಯ ದಿನಾಂಕವಿಲ್ಲ.