JWT-Token-Debugging

Die mysteriöse Fehlermeldung

Ihre API gibt 'Ungültiges Token' zurück. Das war's. Keine Details. Keine Hinweise. Nur 'Ungültiges Token'.

Sie überprüfen das Token. Es sieht korrekt aus. Sie überprüfen die Ablaufzeit. Immer noch gültig. Sie überprüfen die Signatur... warte, welcher Schlüssel wurde verwendet, um dies zu signieren?

JWT-Debugging ist berüchtigt undurchsichtig. Fehlermeldungen sind aus Sicherheitsgründen vage. Aber das macht das Debugging zum Albtraum. Hier ist, wie Sie systematisch jedes JWT-Problem debuggen können.

JWT-Anatomie: Drei Teile

Ein JWT sieht so aus: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U

Es hat drei durch Punkte getrennte Teile: header.payload.signature. Jeder Teil ist Base64Url-kodiert.

Der Header enthält Metadaten wie den Algorithmus (alg) und Tokentyp. Das Payload enthält Ansprüche wie Benutzer-ID (sub), Ablaufzeit (exp) und Aussteller (iss). Die Signatur beweist, dass das Token nicht manipuliert wurde.

Die JWT-Debugging-Checkliste

Wenn ein JWT fehlschlägt, gehen Sie diese Checkliste systematisch durch:

• Ablaufzeit prüfen (exp) - Ist das Token noch gültig? Unix-Zeitstempel mit aktueller Zeit vergleichen
• Algorithmus verifizieren (alg) - Entspricht es dem, was Ihr Verifizierer erwartet? Auf 'none'-Algorithmus-Angriffe achten
• Aussteller validieren (iss) - Ist das Token aus der erwarteten Quelle?
• Zielgruppe prüfen (aud) - Ist das Token für Ihren Dienst bestimmt?
• Signatur verifizieren - Haben Sie den richtigen geheimen Schlüssel oder öffentlichen Schlüssel?

Häufige JWT-Fehler

Hier sind die häufigsten JWT-Probleme und wie man sie behebt:

• 'Invalid signature' – Der Schlüssel stimmt nicht. Verifizieren Sie, dass Sie den richtigen geheimen Schlüssel für HS256 oder das richtige öffentliche Zertifikat für RS256 haben.
• 'Token expired' – Das Token ist abgelaufen. Prüfen Sie die exp-Zeit und den Uhrenabgleich zwischen Aussteller und Empfänger.
• 'No 'kid' header' – Der Header enthält keinen Schlüssel-Identifier. Fragen Sie den Token-Aussteller nach dem richtigen Schlüssel.
• 'Algorithm mismatch' – Das Token verwendet einen anderen Algorithmus als erwartet. HS256 und RS256 sind nicht austauschbar.

JWT-Best-Practices

Verwenden Sie JWTs sicher mit diesen Best Practices:

• Niemals 'none' als Algorithmus akzeptieren - Dies ermöglicht es Angreifern, Tokens zu fälschen
• Immer Ablaufzeiten setzen - Fügen Sie exp-Ansprüche hinzu, um die Gültigkeitsdauer zu begrenzen
• Aussteller und Zielgruppe validieren - Prüfen Sie iss und aud-Ansprüche gegen erwartete Werte
• Sensible Daten im Payload vermeiden - Es ist Base64-kodiert, nicht verschlüsselt
• Kurze Gültigkeitsdauer für Access Tokens verwenden - 15 Minuten sind typisch
• Refresh Tokens für verlängerte Sitzungen verwenden - Access Tokens sollten kurzlebig sein

JWT in der Praxis

So arbeiten Sie mit JWTs in verschiedenen Programmiersprachen:

const jwt = require('jsonwebtoken');
// Token verifizieren
const decoded = jwt.verify(token, secretKey);
console.log(decoded.sub); // Benutzer-ID
console.log(decoded.exp); // Ablaufzeit

import jwt
# Token verifizieren
decoded = jwt.decode(token, secret_key, algorithms=['HS256'])
print(decoded['sub'])  # Benutzer-ID
print(decoded['exp'])  # Ablaufzeit

FAQ