Kleine Werkzeuge. Klare Grenzen.
Tokens untersuchen und eine Log-Regel gegen bekannte Übungsfälle prüfen. Eingaben bleiben im Browser; kein Upload und keine externen Schlüsselabfragen.
Signiert. Für wen? Mit welchen Rechten?
Vergleiche die Beispiele. Auch eine passende Signatur ersetzt weder die Prüfung des Empfängers noch eine Ressourcenberechtigung. Die Signaturprüfung verwendet ausschließlich den eingebauten öffentlichen ES256-Übungsschlüssel.
Keine produktiven Zugangstokens eingeben. Es werden keine Werte gespeichert. Fremde Signaturen werden mit diesem Übungsschlüssel nicht vertrauenswürdig; jku/jwk/x5c aus dem Token werden nicht als Vertrauensquelle verwendet. Keine vollständige produktive JWT-Validierung, keine automatische Zugriffsfreigabe.
Grenzen und technische Grundlagen
Unterstützt: kompakte JWS, ES256 mit festem Übungsschlüssel, explizite iss/aud/exp/nbf-Prüfschritte ohne Zeittoleranz. Nicht abgedeckt: produktive Schlüsselverteilung/-rotation, Widerruf, Tokenarten und sämtliche verpflichtenden Profilregeln. Ein passend dekodiertes Token ist kein Berechtigungsnachweis.
RFC 8725 · JWT Best Current Practices ↗Microsoft · Access-token claims ↗