Шифрование JWT нормально?

Question

Я начинаю с JWT, и я выполнил тест дешифрования моего токена на base64, и я фактически расшифровал его, за исключением части Signature, которую я не расшифровал, мой вопрос: нормален ли токен JWT для дешифрования? и если это нормально, как я могу предотвратить это.

Я использую алгоритм HS256

благодарение

Answer 1

У вас есть не зашифрованный токен (JWE => RFC7516), а подписанный токен (JWS => RFC7515).

Алгоритм HS256 является алгоритмом подписи, на который есть ссылка в разделе 3.2 RFC7518.

При наличии подписанных токенов полезная нагрузка не шифруется, а кодируется только с использованием кодировки данных Base 64 Url Safe (см. RFC4648).