Come generare un token JWT con payload JSON e HS256

Inserisci un payload JSON valido oppure lascia vuoto il campo per usare il contenuto predefinito, quindi scegli una secret facoltativa e avvia la generazione. L’impostazione HS256 nell’intestazione corrisponde a una firma HMAC con SHA-256, mentre una secret vuota usa my-secret.

Prima di iniziare

Questo strumento crea un nuovo token JWT a partire da testo JSON facoltativo e da una secret. La firma viene eseguita con HMAC e SHA-256, mentre l’intestazione del token riporta per impostazione predefinita l’etichetta HS256. La procedura è utile quando ti serve preparare un token di prova con un contenuto scelto da te o con il payload già previsto dallo strumento.

Il payload non è un campo obbligatorio in senso pratico: se non inserisci testo, viene utilizzato un contenuto predefinito. Quando invece compili il campo, il testo deve poter essere interpretato come JSON. Anche la secret può essere lasciata vuota, ma in quel caso entra in funzione il valore predefinito my-secret.

Il risultato di una generazione riuscita è un token non vuoto composto da tre sezioni separate da punti. Questa struttura ti permette di riconoscere l’esito prodotto, senza confondere la generazione con la verifica, la decodifica o l’ispezione di un token già esistente.

Generazione passo dopo passo

1. Prepara il contenuto del payload. Per un token destinato all’utente utente-42, puoi inserire {"sub":"utente-42","role":"lettore"} nel campo dedicato. Le virgolette, le parentesi graffe, i due punti e le virgole fanno parte della sintassi JSON e devono rimanere nella posizione corretta.

2. Decidi se usare un contenuto personalizzato oppure quello predefinito. Lasciando completamente vuoto il campo del payload, lo strumento ignora l’assenza di testo e impiega il payload integrato; inserendo anche solo un testo non valido, invece, la richiesta non produce un token riuscito.

3. Compila la secret solo se vuoi sostituire il valore predefinito. Un campo vuoto porta all’uso di my-secret, mentre una stringa inserita nel campo viene utilizzata come secret per l’operazione di firma. Non associare la secret al token quando conservi o condividi il risultato.

4. Mantieni HS256 nel campo dell’algoritmo se vuoi rappresentare l’impostazione predefinita nell’intestazione. Il valore visualizzato nell’intestazione e il metodo effettivo vanno letti separatamente: la firma verificata impiega HMAC con SHA-256, quindi la modifica dell’etichetta non cambia quel metodo crittografico.

5. Avvia la generazione dopo aver controllato il testo immesso. Con JSON valido oppure con il campo del payload vuoto, cerca un esito riuscito e un valore non vuoto formato da tre parti divise da punti.

6. Se l’operazione termina senza un token riuscito, torna al campo del payload prima di modificare gli altri valori. Verifica che il testo sia JSON valido, correggi eventuali segni mancanti o superflui e invia nuovamente la richiesta.

Controlli dopo la generazione

Il primo controllo riguarda la presenza del risultato: una generazione riuscita restituisce un valore non vuoto con tre sezioni separate da punti. Questa forma descrive la struttura del token ottenuto, ma non conferma che i dati del payload corrispondano allo scopo previsto; per questo confronta il risultato con i valori che avevi scelto prima dell’invio.

Se hai lasciato vuoto il payload, non aspettarti di ritrovare i campi dell’esempio sub o role: in quella condizione viene usato il contenuto predefinito. Allo stesso modo, una secret non compilata non rappresenta una secret assente, perché viene sostituita da my-secret.

Un esito non riuscito dopo l’invio è compatibile con un payload scritto in modo non valido. In particolare, controlla le virgolette attorno alle stringhe, la chiusura delle parentesi graffe e la separazione tra proprietà; un errore in questi elementi impedisce la generazione riuscita.

Leggi infine HS256 come etichetta collocata nell’intestazione, non come prova di un cambio automatico del metodo di firma. Il metodo descritto per l’operazione resta HMAC con SHA-256. Il contratto dello strumento dichiara inoltre l’assenza di accesso alla rete, ma questo dato non specifica come vengano gestiti, conservati o eliminati i valori inseriti.

Esempio pratico

Devi creare un token per l’utente utente-42 con il ruolo lettore e vuoi usare una secret personalizzata.

Inserisci {"sub":"utente-42","role":"lettore"}, specifica una secret diversa da my-secret, mantieni HS256 nell’impostazione dell’algoritmo e avvia la generazione.

Un valore non vuoto formato da tre sezioni separate da punti.

Limiti

• Lo strumento genera un nuovo token e l’etichetta dell’algoritmo non modifica il metodo di firma HMAC con SHA-256.

Errori comuni

• Un testo con JSON non valido causa un esito non riuscito; controlla la sintassi del payload, correggi il carattere problematico e ripeti la generazione.

Domande frequenti

Che cosa succede se lascio vuoto il payload?

Lasciando il campo completamente vuoto, lo strumento usa il payload predefinito. Se inserisci del testo, quel contenuto deve essere JSON valido affinché la generazione possa concludersi con un token riuscito.

Devo inserire una secret?

Non è necessario compilare il campo: quando la secret è vuota, viene utilizzato il valore predefinito my-secret. Per usare un valore diverso, inserisci la secret prima di avviare la generazione.

Quale forma ha il token prodotto?

Un esito riuscito restituisce un token non vuoto con tre sezioni separate da punti. Nell’intestazione compare HS256, mentre l’operazione di firma utilizza HMAC con SHA-256.