API Kimlik Doğrulama Testi için HS256 JWT

Bu örnek, JWT Oluşturucu’yu bir HS256 yapılandırması ve standart taleplerle önceden doldurur. API istemcinize, curl komutunuza veya entegrasyon testinize yapıştırabileceğiniz imzalı bir JWT elde edersiniz.

Araç, JWT başlığını {"alg":"HS256","typ":"JWT"} oluşturur, taleplerinizle bir payload oluşturur ve sonucu sağlanan gizli anahtarla HMAC-SHA256 kullanarak imzalar. Çıktı, nihai JWT dizesini, üç nokta ile ayrılmış bölümlerin (başlık, payload, imza) dökümünü ve kullanılan imzalama anahtarını içerir.

HS256 Ne Zaman Kullanılır

HS256 (HMAC ile SHA-256) simetrik bir imzalama algoritmasıdır. Aynı gizli anahtar tokeni imzalar ve doğrular. Bu, hızlı ve basit olmasını sağlar, ancak tokeni doğrulaması gereken her servisin gizli anahtarı bilmesi gerektiği anlamına gelir.

HS256, monolitler, tek sayfalık uygulamalar ve her iki ucu da kontrol ettiğiniz geliştirme/test ortamları için iyi çalışır.

Oluşturulan Tokenin Anatomisi

Araç, noktalarla ayrılmış üç bölüm üretir:

Başlık (base64url çözülmüş):

{"alg":"HS256","typ":"JWT"}

Payload (base64url çözülmüş):

{
  "sub": "user_abc123",
  "name": "Alice Smith",
  "email": "alice@example.com",
  "iss": "https://api.dev",
  "exp": 1735689600,
  "iat": 1735686000,
  "jti": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
}

İmza: Sağlanan gizli anahtar kullanılarak base64url(header).base64url(payload) üzerinden HMAC-SHA256.

exp talebi, oluşturma anından itibaren bir saat olarak ayarlanır. iat (düzenlenme zamanı) ve jti (JWT ID) talepleri otomatik olarak oluşturulur.

Bu Token Nasıl Kullanılır

1. Önceden doldurulmuş değerlerle imzalı bir JWT oluşturmak için Oluştur’a tıklayın.
2. Çıktının yanındaki kopyala butonunu kullanarak token dizesini kopyalayın.
3. HTTP isteğinize Authorization başlığı olarak ekleyin:

   Authorization: Bearer <token>

4. curl ile: curl -H "Authorization: Bearer <token>" https://api.example.com/endpoint
5. Kodu yazmadan çözülmüş payload’ı incelemek için tokeni JWT Çözücü aracına yapıştırın.

Yaygın Tuzaklar

sub talebi, e-posta veya kullanıcı adı gibi değişebilecek bir değer değil, kullanıcı için sabit bir tanımlayıcı olmalıdır. Bir veritabanı ID’si veya UUID kullanın. iss talebi, API middleware’inizin kontrol ettiği beklenen yayıncı değeriyle eşleşmelidir. Çoğu JWT kütüphanesi, iss değeri yapılandırılmış beklenen yayıncıyla eşleşmezse tokenleri reddeder.

Gizli anahtarı değiştirirseniz, önceden verilmiş tüm tokenler hemen doğrulamada başarısız olur. Geçiş pencerelerinde birden fazla geçerli anahtarı destekleyerek anahtar döndürme planı yapın.

İlgili Araçlar

Farklı girdilerle HMAC davranışını doğrulamak için Hash Oluşturucu aracını kullanın. JWT Çözücü, oluşturduğunuz herhangi bir JWT’yi ve üçüncü taraf kimlik sağlayıcılardan gelen tokenleri inceleyebilir.