JWT காலாவதி சரிபார்ப்பி

JWT டோக்கன் காலாவதியானதா எனச் சரிபார்த்து அதன் உள்ளடக்கத்தைப் பிரித்துப் பாருங்கள்

JWT பிரித்தலும் சரிபார்த்தலும் உங்கள் உலாவியில் உள்ளூரிலேயே நடைபெறும். டோக்கன்கள் சாதனத்தை விட்டு வெளியேறாது.

Advertisement

விரிவான வழிகாட்டி

JWT-இன் காலாவதியைப் படித்தல்: சரிபார்ப்பி எதை டிகோட் செய்கிறது, எதைச் சொல்ல முடியாது

சரிபார்ப்பி சுருக்க JWT-ஐ எப்படிப் பிரித்து டிகோட் செய்கிறது, exp, nbf, iat ஆகியவற்றை எப்படி மதிப்பிடுகிறது, அதன் பச்சை 'செல்லுபடியான டோக்கன்' எதைக் குறிக்கும் எதைக் குறிக்காது, நிராகரிக்கப்படும் உள்ளீட்டு வடிவங்கள்; அனைத்து வெளியீடுகளும் உண்மையான பக்கத்திலிருந்து.

கடைசியாகச் சரிபார்க்கப்பட்டது: ஆதாரங்கள்: IETF — RFC 7519 Markdown பதிப்பு (AI-க்காக)

முக்கிய எண்கள் ஒரே பார்வையில்

கையொப்பம்
ஒருபோதும் சரிபார்க்கப்படாது
'செல்லுபடியான டோக்கன்' என்பது exp கோரிக்கை எதிர்காலத்தில் உள்ளது என்பதை மட்டுமே குறிக்கும். இந்தச் சோதனையில் தேறும் டோக்கனை யாரும் போலியாக உருவாக்கலாம்.
ஆதாரம்: IETF — RFC 7519
எப்போது காலாவதி
exp சாதனக் கடிகாரத்தை விட முந்தையது
exp-க்குச் சமமான சரியான விநாடியில் பக்கம் இன்னும் செல்லுபடி என்கிறது; exp 'அன்று அல்லது அதன் பின்' என்றால் நிராகரிக்க வேண்டும் என RFC 7519 கூறுகிறது.
ஏற்கும் வடிவம்
புள்ளிகளால் பிரிக்கப்பட்ட மூன்று பகுதிகள், வேறொன்றும் இல்லை
தொடக்கத்தில் 'Bearer ', உள்ளே வரி முறிவுகள், அல்லது 5-பகுதி மறையாக்கப்பட்ட டோக்கன் இருந்தால் பிழை வரும்.
காட்டப்படும் நேரங்கள்
UTC, நாள்/மாதம்/ஆண்டு, 24 மணி
எ.கா. 20/10/2026, 02:26:54 UTC, எல்லா மொழிகளிலும்.

காலாவதியான டோக்கனால் வந்திருக்கக்கூடிய 401-ஐ சரிசெய்தல்

சரிபார்ப்பி 'இந்த டோக்கன் என்ன கோருகிறது?' என்பதற்குப் பதில் தரும்; 'சேவையகம் இதை ஏற்குமா?' என்பதற்கு அல்ல.

  1. படி 1: டோக்கனை மட்டும் நகலெடுங்கள்

    Authorization தலைப்புப் பெயர் அல்லது Bearer முன்னொட்டு இல்லாமல் மூன்று பகுதிச் சரத்தை எடுங்கள். அதை ஒரு சான்றாகக் கருதுங்கள்: செயலில் உள்ள டோக்கன் வைத்திருப்பவர் பயனராகச் செயல்பட முடியும்.

  2. படி 2: நிலையையும் exp வரியையும் படியுங்கள்

    exp கடந்துவிட்டதா, எவ்வளவு முன்பு, nbf இன்னும் முன்னால் உள்ளதா எனக் கவனியுங்கள். பச்சைக் குறியை வேறு எதற்கும் சான்றாகக் கொள்ளாதீர்கள்.

  3. படி 3: சேவையகக் கடிகாரத்துடன் ஒப்பிடுங்கள்

    exp சரியாகத் தெரிந்தும் சேவையகம் ஏற்கவில்லையெனில், exp-யையும் உங்கள் சாதன நேரத்தையும் மாற்றிக் கடிகார வேறுபாட்டைத் தேடுங்கள்.

    Unix நேர முத்திரை மாற்றி →

  4. படி 4: டோக்கனைப் புதுப்பிக்கவும் அல்லது மீண்டும் வழங்கவும்

    காலாவதியான டோக்கன்களை அடையாள வழங்குநரே புதுப்பிக்க வேண்டும். கையொப்பம், வழங்குநர், பார்வையாளர் சரிபார்ப்பு சேவையகத்திலேயே இருக்கும்.

பக்கம் என்ன செய்கிறது

சுருக்க JWT என்பது புள்ளிகளால் இணைக்கப்பட்ட மூன்று base64url சரங்கள்: தலைப்பு, உள்ளடக்கம், கையொப்பம். பக்கம் ஒட்டிய உரையை வெட்டி, . இல் பிரித்து, சரியாக மூன்று பகுதிகளைக் கோருகிறது. முதல் இரண்டையும் UTF-8 JSON ஆக டிகோட் செய்து மீண்டும் உள்தள்ளிக் காட்டும்; மூன்றாவது படிக்கப்படாது. எதுவும் எங்கும் அனுப்பப்படாது: பக்கத்தின் ஸ்கிரிப்ட் எந்த நெட்வொர்க் கோரிக்கையும் செய்யாது. JWT ஐ டிகோட் செய் சொடுக்கும் காலாவதியைச் சரிபார் சொடுக்கும் ஒரே காரியத்தைச் செய்யும்; பெட்டியில் Ctrl+Enter-உம் அதை இயக்கும்.

JWT உள்ளடக்கம் குறியாக்கப்பட்டது, மறையாக்கப்பட்டது அல்ல. டோக்கனை வைத்திருக்கும் எவரும் ஒவ்வொரு கோரிக்கையையும் படிக்கலாம்; அதனால்தான் டிகோட் எளிது, அதனால்தான் கோரிக்கைகளுக்குள் ரகசியங்களை வைக்கக் கூடாது.

exp, nbf, iat எப்படி மதிப்பிடப்படுகின்றன

கோரிக்கைகள் NumericDate மதிப்புகள்: 1970-01-01T00:00:00Z முதல் விநாடிகள், லீப் விநாடிகளைப் புறக்கணித்து (RFC 7519). பக்கம் அவற்றை உங்கள் சாதனக் கடிகாரத்துடன் ஒப்பிடும்.

கோரிக்கை இந்தப் பக்கத்தில் நடத்தை RFC 7519 பொருள்
exp கடந்தது: சிவப்பு "டோக்கன் காலாவதியானது", எவ்வளவு முன்பு என்பதுடன். எதிர்காலம்: பச்சை "செல்லுபடியாகும் டோக்கன்", மீதமுள்ள நேரத்துடன் இந்த நேரத்தில் அல்லது அதன் பின் டோக்கனை ஏற்கக்கூடாது (MUST NOT)
nbf இன்னும் எதிர்காலத்தில் இருக்கும்போது மட்டும் காட்டப்படும் ("டோக்கன் இன்னும் செல்லுபடியாகவில்லை", "Valid in …"); கடந்த nbf குறிப்பிடப்படாது இந்த நேரத்துக்கு முன் டோக்கனை ஏற்கக்கூடாது
iat காட்டப்படும், மதிப்பிடப்படாது; எதிர்கால iat எச்சரிக்கையைத் தூண்டாது டோக்கன் வழங்கப்பட்ட நேரம்

சேவையகத்தில் இந்தச் சோதனைகளில் தோல்வியடையும் டோக்கன் இங்கே ஆரோக்கியமாகத் தெரியலாம்; ஏனெனில் சேவையகம் கையொப்பம், வழங்குநர் (iss), பார்வையாளர் (aud), தன் சொந்த விதிகளையும் சோதிக்கும்; எந்தக் கோரிக்கைகள் தேவை என்பது சூழலைப் பொறுத்தது என RFC 7519 கூறுகிறது.

சரிபார்த்த நடத்தைகள் (உருவாக்கிய டோக்கன்களுடன் இயக்கியவை):

  • exp இல்லையெனில், அல்லது exp 0 ஆக இருந்தால், மஞ்சள் "காலாவதி அமைக்கப்படவில்லை" வரும். பூஜ்ஜியம் இல்லாததாகக் கருதப்படும்.
  • சரமான exp ("1792455807") ஏற்கப்பட்டு எண்ணாக ஒப்பிடப்படும்.
  • மில்லிவிநாடிகளில் (13 இலக்கம்) தரப்பட்ட exp விநாடிகளாகப் படிக்கப்படும்: பக்கம் "செல்லுபடியாகும் டோக்கன்" எனவும், சுமார் 2 கோடி நாட்கள் மீதம் எனவும், ஆண்டு 58770 எனவும் காட்டும். அபத்தமான காலாவதியைக் கண்டால் வழங்குநர் தவறான அலகைப் பயன்படுத்தியிருக்கிறார்.
  • சரியான எல்லை விநாடி இன்னும் செல்லுபடி எனக் கருதப்படும்; RFC விதியை விட ஒரு விநாடி தாமதம்.
  • எந்த அவகாசமும் இல்லை. கடிகார வேறுபாட்டுக்குச் சிறு அனுமதியை RFC 7519 அனுமதிக்கிறது; சேவையகங்கள் அதைப் பயன்படுத்துவதுண்டு, இந்தப் பக்கம் பயன்படுத்தாது.
  • மீதமுள்ள நேரம் நாட்கள், மணி, நிமிடங்களைக் காட்டும்; ஒரு நாளுக்குக் குறைவாக இருக்கும்போது மட்டுமே விநாடிகள்.
  • பாதுகாப்பற்ற டோக்கன்களும் (alg: none, வெற்றுக் கையொப்பம், RFC 7519 பிரிவு 6-இன்படி செல்லுபடி) "செல்லுபடியாகும் டோக்கன்" எனவே காட்டப்படும்.

எடுத்துக்காட்டுகள்

exp 2 ம 5 நி முன்னால் உள்ள டோக்கன் (HS256 தலைப்புடன் உருவாக்கியது): மீதமுள்ள நேரம் "2 மணிநேரம் 5 நிமிடங்கள் 3 விநாடிகள்", காலாவதி நேரம் 20/10/2026, 02:26:54 UTC, வெளியிடப்பட்ட நேரமும் காட்டப்படும். exp 2 நாள் 1 மணி 5 விநாடிகளுக்கு முன் உள்ள டோக்கன்: "காலாவதியானது: 2 நாட்கள் 1 மணிநேரங்கள் முன்பு". nbf பத்து நிமிடம் முன்னாலும் exp இரண்டு மணி முன்னாலும் உள்ள டோக்கன்: "செல்லுபடியாகும் டோக்கன்" மற்றும் "டோக்கன் இன்னும் செல்லுபடியாகவில்லை" இரண்டும், செல்லுபடியாகும் வரையிலான நேரத்துடன்.

தோல்வியடையும் உள்ளீடுகள்

ஒட்டியது செய்தி
Bearer eyJ… JWT-ஐப் பிரிப்பதில் பிழை (முன்னொட்டு முதல் பகுதியைச் செல்லாததாக்குகிறது)
இரண்டு பகுதிகள், அல்லது ஐந்து பகுதிகள் (மறையாக்கப்பட்ட JWE) JWT-யில் புள்ளிகளால் பிரிக்கப்பட்ட 3 பகுதிகள் இருக்க வேண்டும்
பல வரிகளாகச் சுற்றப்பட்ட டோக்கன் JWT-ஐப் பிரிப்பதில் பிழை (உள்ளே உள்ள வெற்றிடம் நீக்கப்படாது)
JSON அல்லாத உள்ளடக்கம் JWT-ஐப் பிரிப்பதில் பிழை
நிரப்பு = எழுத்துகள் JWT-ஐப் பிரிப்பதில் பிழை (வடிவம் நிரப்பு இல்லாத base64url)

JSON அணியான உள்ளடக்கம் நன்றாக டிகோட் ஆகி, "காலாவதி அமைக்கப்படவில்லை" எனக் காட்டி அணியை அச்சிடும்.

குறிப்பு: சந்தேகத்துக்குரிய exp-ஐ Unix நேரமுத்திரை மாற்றி மூலம் மாற்றுங்கள். அது 1970-இல் வந்தால் அலகு எதிர்மறையாக உள்ளது (விநாடிகள் மில்லிவிநாடியாகக் கருதப்பட்டன); தொலைவான எதிர்காலத்தில் வந்தால் அது மில்லிவிநாடி.

பொதுவான தவறுகள்

  • "செல்லுபடியாகும் டோக்கன்" என்பதை "உண்மையான டோக்கன்" எனப் படிப்பது. சாவியை வைத்திருக்கும் சேவையகம் மட்டுமே கையொப்பத்தைச் சரிபார்க்க முடியும்.
  • உண்மையான உற்பத்தி டோக்கன்களை உங்கள் கட்டுப்பாட்டில் இல்லாத கருவிகளில் ஒட்டுவது. இந்தப் பக்கம் உள்ளூரில் இயங்கும், ஆனால் உங்கள் கிளிப்போர்டு அல்லது வரலாற்றிலுள்ள டோக்கன் இன்னும் ஒரு சான்றே.
  • உள்ளடக்கத்திலுள்ள பெரிய எண்கள் JavaScript எண்களாக அச்சாகும் என்பதை மறப்பது (12345678901234567890 → 12345678901234567000).
  • வேறொரு நேர மண்டலத்திலுள்ள சேவையகத்துடன் சாதனக் கடிகாரத்தை ஒப்பிட்டு, exp எப்போதும் UTC என்பதை மறப்பது.

தொடர்புடைய கருவிகள்

exp, iat-ஐ மாற்ற Unix நேரமுத்திரை மாற்றி, டிகோட் செய்த JSON-ஐ ஆராய JSON பார்வையாளர், ஒரு பகுதியைக் கையால் டிகோட் செய்ய Base64 குறியாக்கி.

Advertisement

அடிக்கடி கேட்கப்படும் கேள்விகள்

JWT டோக்கன் என்றால் என்ன?

JWT (JSON Web Token) என்பது தரப்புகளிடையே தகவலைப் பாதுகாப்பாக அனுப்பப் பயன்படும் சுருக்கமான, URL-க்கு ஏற்ற டோக்கன் வடிவம். நவீன இணையப் பயன்பாடுகளில் அங்கீகாரத்துக்கும் அனுமதிக்கும் பொதுவாகப் பயன்படுகிறது. புள்ளிகளால் பிரிக்கப்பட்ட தலைப்பு, உள்ளடக்கம், கையொப்பம் என மூன்று பகுதிகள் இதில் உள்ளன.

எனது JWT சேவையகத்துக்கு அனுப்பப்படுமா?

இல்லை. JWT பிரித்தலும் காலாவதி சரிபார்ப்பும் உங்கள் உலாவியில் நடக்கும். டோக்கன் சாதனத்தை விட்டு வெளியேறாது; எனவே உற்பத்தி மற்றும் முக்கிய அங்கீகார டோக்கன்களுக்கும் இந்தக் கருவி பாதுகாப்பானது.

இந்தக் கருவி JWT கையொப்பங்களைச் சரிபார்க்குமா?

இல்லை. உள்ளடக்கத்தையும் காலாவதியையும் பார்க்க டோக்கனை மட்டும் பிரிக்கும்; குறியாக்கக் கையொப்பத்தைச் சரிபார்க்காது. உற்பத்திப் பயன்பாடுகளில் உள்ளடக்கத்தை நம்புவதற்கு முன் உங்கள் சேவையகத்தில் கையொப்பத்தை எப்போதும் சரிபார்க்கவும்.

"டோக்கன் காலாவதியானது" என்பதன் பொருள் என்ன?

JWT-யிலுள்ள "exp" (காலாவதி) உரிமைகோரலில் உள்ள நேரம் கடந்துவிட்டது என்பதே பொருள். காலாவதியான டோக்கன்களைச் சேவையகங்கள் ஏற்கக்கூடாது; பயனர் மீண்டும் உள்நுழையவோ டோக்கனைப் புதுப்பிக்கவோ வேண்டியிருக்கும்.

எனது JWT-யில் காலாவதி நேரம் இல்லாவிட்டால்?

"exp" உரிமைகோரல் இல்லாவிட்டால் JWT தானாகக் காலாவதியாகாது. பாதுகாப்புக் காரணங்களால் இது பொதுவாகப் பரிந்துரைக்கப்படுவதில்லை. பெரும்பாலான அங்கீகார அமைப்புகள் காலாவதி நேரத்தை அமைக்க வேண்டும்.

பிரிக்கப்பட்ட JWT தரவை எப்படிப் படிப்பது?

பிரித்த பிறகு வழிமுறை மற்றும் டோக்கன் வகை கொண்ட தலைப்பையும், பயனர் ID, காலாவதி, வழங்கிய நேரம் மற்றும் தனிப்பயன் தரவு போன்ற உரிமைகோரல்கள் கொண்ட உள்ளடக்கத்தையும் கருவி காட்டும். வாசிக்க எளிதாக எல்லாத் தரவும் JSON வடிவில் காட்டப்படும்.

எனது செல்லுபடியாகும் டோக்கன் ஏன் காலாவதியானதாகக் காட்டப்படுகிறது?

உங்கள் சாதனத்தின் கணினி நேரத்தைச் சரிபார்க்கவும்; காலாவதி சோதனை உள்ளூர் கடிகாரத்தைப் பயன்படுத்துகிறது. நேரம் தவறாக இருந்தால் செல்லுபடியாகும் டோக்கனும் காலாவதியாகக் காட்டப்படலாம். டோக்கனுக்கு சரியான காலாவதி நேரம் வழங்கப்பட்டதையும் உறுதிப்படுத்துங்கள்.

எந்தப் பயன்பாட்டிலிருந்தும் வரும் டோக்கனைப் பிரிக்க முடியுமா?

முடியும். எந்தப் பயன்பாடு அல்லது கட்டமைப்பு உருவாக்கியிருந்தாலும் நிலையான JWT வடிவத்தைப் பின்பற்றும் டோக்கனை இந்தக் கருவி பிரிக்கும். JWT-கள் RFC 7519 தரநிலையைப் பின்பற்றுவதால் தளங்களிலும் நிரலாக்க மொழிகளிலும் இயங்கும்.

JWT-யின் மூன்று பகுதிகள் எவை?

புள்ளிகளால் பிரிக்கப்பட்ட Base64URL குறியாக்கமுள்ள மூன்று பகுதிகள்: தலைப்பு (வழிமுறையும் வகையும்), உள்ளடக்கம் (உரிமைகோரல்களும் தரவும்), கையொப்பம் (சரிபார்ப்புக்கான குறியாக்கக் கையொப்பம்). வடிவம்: xxxxx.yyyyy.zzzzz

உற்பத்தி டோக்கன்களுடன் இந்தக் கருவியைப் பயன்படுத்துவது பாதுகாப்பானதா?

செயலாக்கம் உலாவியிலேயே நடைபெற்று டோக்கன் சாதனத்தை விட்டு வெளியேறாததால் பாதுகாப்பானது. இருப்பினும் முக்கிய டோக்கன்களை எங்கு ஒட்டுகிறீர்கள் என்பதில் கவனமாக இருங்கள். ரகசியத் தகவல் கொண்ட பிரிக்கப்பட்ட உள்ளடக்கத்தைப் பகிர வேண்டாம்.

exp, iat மற்றும் nbf உரிமைகோரல்களுக்கு என்ன வேறுபாடு?

exp என்பது டோக்கன் காலாவதியாகும் நேரம்; iat என்பது டோக்கன் உருவாக்கப்பட்ட நேரம்; nbf என்பது டோக்கன் செல்லுபடியாகத் தொடங்கும் நேரம். மூன்றும் Unix நேரமுத்திரைகளைப் பயன்படுத்துகின்றன (1970 ஜனவரி 1 முதல் விநாடிகள்).

JWT டோக்கன்கள் எவ்வளவு அடிக்கடி காலாவதியாக வேண்டும்?

பாதுகாப்புக்காக அணுகல் டோக்கன்கள் பொதுவாக 15 நிமிடங்கள் முதல் 1 மணிநேரத்துக்குள் காலாவதியாக வேண்டும். புதுப்பிப்பு டோக்கன்கள் நாட்கள் அல்லது வாரங்கள் நீடிக்கலாம். பொருத்தமான காலம் உங்கள் பாதுகாப்புத் தேவைகளையும் பயனர் அனுபவத்தையும் பொறுத்தது.

ஆதாரங்கள்

  1. IETF — RFC 7519, JSON Web Token (JWT) — exp, nbf, iat, NumericDate, unsecured JWTs, context-dependent validity.
  2. IETF — RFC 7515, JSON Web Signature (JWS) — The compact serialisation: base64url header, payload and signature.
  3. IETF — RFC 4648, Base64url encoding

இந்த வழிகாட்டி வெளியிடப்பட்ட விதிகளை எளிய மொழியில் விளக்குகிறது. இது நிதி, சட்ட அல்லது அதிகாரப்பூர்வ ஆலோசனை அல்ல — விதிகள் மாறக்கூடும், எனவே முடிவெடுக்கும் முன் மேலே இணைக்கப்பட்ட அமைப்பிடம் உறுதிப்படுத்துங்கள்.

தொடர்புடைய கருவிகள்

வரி முடிவு கண்டறிவி (LF vs CRLF) என் நேர மண்டலம் என்ன? Markdown முன்னோட்டம் XML முதல் JSON மாற்றி JSON முதல் XML மாற்றி CSV முதல் JSON மாற்றி JSON முதல் CSV மாற்றி TSV முதல் JSON மாற்றி
Advertisement