JWT生成器

当同一应用程序既创建又验证token时使用HMAC（HS256、HS384、HS512）——对于认证服务器和API服务器由同一团队控制的单体应用程序典型。HMAC使用共享秘密意味着签名和验证使用相同的密钥。这实现更简单但秘密必须在验证token的所有组件之间安全共享。当您想要非对称签名时使用RSA（RS256）或ECDSA（ES256）：认证服务器用其私钥签署token，任何具有公钥的服务都可以验证token。这是微服务架构的推荐方法。

JWT过期（exp声明）是平衡安全性和用户体验的关键安全决策。短生命期token（15-60分钟）由于被破坏时攻击窗口更短而更安全，但频繁重新认证会不方便用户。长生命期token（24小时或更长）用户体验更好但被破坏token的风险保持活跃更长时间。最佳实践：访问token应该是短生命期的（15分钟到1小时）；使用刷新token（长生命期，安全存储，如7-30天）获取新访问token而无需用户交互；为敏感操作设置过期时间在15分钟以下；始终在token验证中间件中检查exp声明。

基本声明包括：exp（过期时间）——安全所需，防止无限生命期token；iat（签发时间）——用于确定token年龄和实施过期策略；sub（主体）——识别token所有者，通常是数据库中的用户ID；iss（发行者）——识别哪个服务器签发了token；aud（受众）——识别哪些服务应该接受此token；jti（JWT ID）——token的唯一标识符。常见自定义声明包括：用于授权决策的角色/权限、多租户应用程序的租户ID以及将会话链接到服务器端会话的会话ID。避免在JWT中存储敏感数据。

使用我们的生成器为各种场景创建测试token：具有正确声明和签名的有效token——您的应用程序应该接受；过期token——您的应用程序应该以401 Unauthorized拒绝；错误算法——您的应用程序应该拒绝；篡改负载——您的应用程序应该因签名不匹配而拒绝；缺少必需声明——您的应用程序应该拒绝；错误受众——您的应用程序应该拒绝；以及用错误秘密签名的token——您的应用程序应该拒绝。

我们的工具仅用于开发和测试目的。对于生产JWT生成，始终在您的后端代码中使用已建立的库在您的安全服务器上运行。对于生产秘密，您永远不应在任何基于Web的工具中输入它们。使用我们的生成器用于：为开发环境创建测试token、学习JWT结构和声明、原型认证流程以及为文档生成示例token。