Elysia Tools
Mobile Navigation
Workflow Playbook
Erstellen Sie ein kontrolliertes JWT-Testobjekt oder prüfen Sie eine autorisierte Probe auf Claims, Algorithmus, Ablauf, sensible Felder und Signaturhinweise, ohne Dekodierung mit Signaturprüfung zu verwechseln.
Themen
Dieser Ablauf richtet sich an Entwickler, Identity-Teams und Reviewer, die eine nachvollziehbare Aussage zu einer JWT-Probe brauchen. Beginnen Sie mit einem synthetischen oder autorisierten Token, halten Sie die Service-Richtlinie fest und unterscheiden Sie Fixture-Erstellung, Strukturinspektion und Sicherheitsprüfung. Auch ein Debug-Token bleibt ein schützenswertes Datum.
Mit jwt-generator lassen sich Claims und Zeitwerte für einen wiederholbaren Test festlegen. Mit jwt-decoder prüfen Sie Header und Payload sowie iss, aud, iat, nbf und exp. Das ist keine Verifikation: Dekodierung zeigt kodierte Daten, beweist aber nicht, wer das Token signiert hat.
Danach verwenden Sie jwt-decoder-security-auditor. Das Tool meldet Algorithmus- und Signaturstatus, Zeitprobleme und mögliche sensible Claim-Namen. Mit einem autorisierten Schlüssel kann es außerdem unterstützte HS256- oder RS256-Signaturen prüfen. Ohne Schlüssel lautet der Status nicht verifiziert.
Vergleichen Sie die Befunde mit erlaubten Algorithmen, erwarteten Issuer- und Audience-Werten, Uhrzeittoleranz und Ablaufbehandlung. Nach einer Korrektur wiederholen Sie die Prüfung nur mit einem maskierten Fixture und dokumentieren akzeptieren, ändern oder blockieren. Für allgemeine Zugangsdaten siehe auth-token-security; für Schlüssel und Signaturen außerhalb des JWT-Rahmens siehe key-generation-signature-verification.
Workflow-Leitfaden
Erzeugen Sie ein nicht produktives JWT mit den für den Fall relevanten Werten für Issuer, Audience, Subject, Ablauf und optionale eigene Claims. Bewahren Sie das Secret ausschließlich als Testmaterial auf und notieren Sie den Zielalgorithmus.
Dekodieren Sie die autorisierte Probe oder das erzeugte Fixture und betrachten Sie Header und Payload getrennt. Prüfen Sie vorhandene Zeit-Claims und halten Sie fest, dass dieser Schritt keine gültige Signatur beweist.
Übergeben Sie dieselbe kontrollierte Probe an den Auditor, um Algorithmusrisiken, Signaturstatus, abgelaufene oder noch nicht gültige Zeitstempel, fehlenden Issuer oder fehlende Audience und möglicherweise sensible Claim-Namen zu erkennen. Einen Schlüssel nur autorisiert bereitstellen.
Bearbeiten Sie nur Befunde, die zum Testziel gehören, führen Sie den Auditor mit einem maskierten Fixture erneut aus und dokumentieren Sie akzeptierte Beobachtungen, nötige Richtlinienänderungen und wegen fehlender Schlüssel offene Verifikationen.
Nutzen Sie jwt-generator für vorhersehbare Claims, Zeitwerte und Algorithmen in einem Testfall. Nutzen Sie jwt-decoder für eine autorisierte Probe, wenn ein neu erzeugtes Token das zu untersuchende Verhalten verdecken würde.
jwt-decoder zeigt Header und Payload, prüft aber keine Signatur. Für Sicherheitsbefunde verwenden Sie jwt-decoder-security-auditor und geben ein HS256-Secret oder einen RS256-Public-Key nur bei bestehender Berechtigung zur Signaturprüfung an.
Halten Sie Befundtyp und Claim-Namen fest, wenn sie die Prüfung unterstützen, maskieren Sie aber Werte mit Bezug zu Benutzer, Mandant, Sitzung, E-Mail oder Zugangsdaten. Ein dekodierter Payload ist base64url-kodiert und nicht verschlüsselt.