kit-jwt

Kit 向けの JSON Web Token (JWT) エンコード / デコード

[TOC]

ファイル

依存関係

• Kit パッケージ依存: crypto
• Kit 標準モジュール: Encoding.Base64
• ネイティブライブラリ: RS256、RS384、RS512 ヘルパー用 OpenSSL libcrypto
• 必要な機能: ffi

パッケージは ffi-zig として宣言されています。RSA 署名/検証が zig/jwt_rsa.zig を使用するためです。HS256 は crypto.hmac-sha256 を使用します。

インストール

kit add gitlab.com/kit-lang/packages/kit-jwt.git

使用方法

import Kit.Jwt as JWT

main = fn =>
  secret = "my-super-secret-key-at-least-32-chars"
  claims = "{\"sub\":\"user123\",\"name\":\"John Doe\",\"admin\":true,\"iat\":1700000000}"

  match JWT.encode claims secret
    | Err e ->
      println "Failed to create token:"
      println e
    | Ok token ->
      println "JWT:"
      println token

      if JWT.verify? token secret then
        println "Token is valid"
      else
        println "Token is invalid"

      match JWT.decode token secret
        | Ok decoded ->
          println "Header:"
          println decoded.header
          println "Payload:"
          println decoded.payload
        | Err e ->
          println "Decode failed:"
          println e

main

サポートされている署名/検証ヘルパー:

安全でない検査ヘルパーも、署名を検証せずにトークンをデバッグするために利用できます:

• decode-unsafe
• get-claims-unsafe
• get-header-unsafe

認可の判断に安全でないヘルパーを使用しないでください。

開発

例の実行

インタプリタで基本例を実行:

kit run examples/basic.kit --allow=ffi

例をネイティブバイナリにコンパイル:

kit build examples/basic.kit --allow=ffi && ./basic

テストの実行

アクティブなテストスイートを実行:

kit test --allow=ffi

カバレッジ付きでアクティブなテストスイートを実行:

kit test --coverage --allow=ffi

オプションの RSA テストファイルを直接実行:

kit test tests/rs256.kit.disabled --allow=ffi
kit test tests/rs384.kit.disabled --allow=ffi
kit test tests/rs512.kit.disabled --allow=ffi

kit dev の実行

標準の開発ワークフロー (フォーマット、チェック、テスト) を実行:

kit dev

これにより以下の処理が行われます:

1. Kit ソースファイルと例ファイルのフォーマット確認
2. ソースと例の型チェック
3. カバレッジ付きのアクティブなテスト実行

パリティの実行

例のインタプリタ/コンパイラパリティチェックを実行:

kit parity --failures-only

パリティチェックでは、例がインタプリタで実行され、コンパイルが成功し、正常に実行され、一致する出力が得られることを確認します。

ドキュメントの生成

ドキュメントコメントから API ドキュメントを生成:

kit doc src/jwt.kit

注釈: ドキュメントコメント (##) を含む Kit ソースは HTML ドキュメントを生成します。

ビルド成果物のクリーンアップ

生成ファイル、キャッシュ、ビルド成果物を削除:

kit task clean

注釈: kit.toml で定義されています。

ローカルインストール

開発のためにこのパッケージをローカルにインストールする場合:

kit install

これによりパッケージが ~/.kit/packages/@kit/jwt/ にインストールされ、他のプロジェクトで Kit.Jwt としてインポートできるようになります。

セキュリティに関する注意事項

• 強力でランダムな HS256 シークレットを使用してください。最低でも 256 ビットを推奨します。
• 秘密鍵や本番環境の JWT シークレットをコミットしないでください。
• デコード後、exp、nbf、iat、iss、aud などのアプリケーションクレームを検証してください。
• 短命なトークンを推奨し、アプリケーションの脅威モデルに従って鍵をローテーションしてください。
• ネットワーク上で JWT を送信する場合は常に HTTPS を使用してください。

ライセンス

このパッケージは MIT ライセンスの下でリリースされています。詳細は LICENSE を参照してください。