Bộ tạo JWT (HS256)
Riêng tư theo thiết kế — chạy hoàn toàn trong trình duyệt của bạn
Tạo JWT đã ký HS256 từ payload JSON và secret chia sẻ. Header, body và chữ ký được tính trong trình duyệt qua Web Crypto.
Tại sao chỉ có HS256
HS256 là thuật toán JWT phổ biến nhất, sử dụng HMAC với SHA-256 và Web Crypto hỗ trợ sẵn. RS256 và ES256 cần khóa riêng và sẽ thêm khi bộ tạo keypair lớn hơn.
Secret có được gửi tới server không
Không. Việc ký diễn ra trong trình duyệt qua crypto.subtle. Secret và payload không rời khỏi tab này.
Secret nên dài bao nhiêu
Tối thiểu 32 byte (256 bit) cho HS256. Secret ngắn hơn làm yếu đảm bảo bảo mật dù chữ ký vẫn có thể xác minh.
Câu hỏi thường gặp
- Tại sao chỉ có HS256?
- HS256 là thuật toán JWT phổ biến nhất, sử dụng HMAC với SHA-256 và Web Crypto hỗ trợ sẵn. RS256 và ES256 cần khóa riêng và sẽ thêm khi bộ tạo keypair lớn hơn.
- Secret có được gửi tới server không?
- Không. Việc ký diễn ra trong trình duyệt qua crypto.subtle. Secret và payload không rời khỏi tab này.
- Secret nên dài bao nhiêu?
- Tối thiểu 32 byte (256 bit) cho HS256. Secret ngắn hơn làm yếu đảm bảo bảo mật dù chữ ký vẫn có thể xác minh.
- Có thể thêm iat hoặc exp không?
- Hãy đặt iat và exp trực tiếp trong payload JSON. Công cụ không tự điền để bạn giữ toàn quyền với tập claim.