Как расшифровать jwt токен?

Question

[Denis Chelpanov]

Сервер apple возвращает JSON Web Token в котором содержится информация о пользователе, как мне его декодировать чтобы получить эту информацию?
Для генерации аналогичного токена, который изначально отправляется на сервер apple я использовал эту библиотеку web-token.spomky-labs.com
Код генерации был такой

$jws = $jwsBuilder
	->create()
	->withPayload(json_encode([
		'iat' => time(),
		'exp' => time() + 3600,
		'iss' => $teamId,
		'aud' => 'https://appleid.apple.com',
		'sub' => $clientId
	]))
	->addSignature(JWKFactory::createFromKeyFile($keyFileName), [
		'alg' => 'ES256',
		'kid' => $keyFileId
	])
	->build();

Comments

[maximdmitriychuk]

JWT не «расшифровывается» — он не зашифрован.
Это просто Base64URL-кодированный JSON:

header.payload.signature

payload можно прочитать всегда: base64url_decode($payloadPart) — там будут iat, exp, iss, aud, sub и т.д.
а вот чтобы доверять данным, нужно проверить подпись. В случае Apple токен подписан ES256, и проверять его надо по публичному ключу Apple из JWKS:
https://appleid.apple.com/auth/keys

В PHP удобно использовать, например:

firebase/php-jwt или lcobucci/jwt — они умеют и декодировать, и валидировать подпись.