Можно ли изменить полезную нагрузку в JWT?

Question

[Андрей Рудаков]

Приветствую.
На клиент прилетел jwt access token, скажем с полем username: "Akram".
Возможно ли изменить это имя на клиенте в этом токене и отправлять с другим именем?
Или после изменения он уже не пройдёт валидацию?

Answer 1

[dostoevskiy54]

Если просто перезаписать имя, то не пройдёт валидацию. Если перезаписать имя + контрольный хеш (по сути весь токен), то проблем не должно быть

Comments

[Lynn «Кофеман»]

По сути это будет просто новый токен

[dostoevskiy54]

Lynn «Кофеман», Верно

Answer 2

[Василий Банников]

К токену прикреплена зашифрованная хэш-сумма, которую формирует сервер.
Если изменить payload - изменится хэш-сумма и сервер это увидит, тк она не будет совпадать с подписью.