Decodificador JWT y verificador de firmas HMAC

¿Qué es un JSON Web Token?

Un JSON Web Token (RFC 7519) consta de cabecera, payload y firma criptográfica.

La decodificación extrae cabecera y claims. La verificación recalcula la firma HMAC con un secreto en Web Crypto local.

Decodificar y verificar JWT en código

JavaScript (Node.js)

const crypto = require("crypto");
const [header, payload, signature] = token.split(".");
const expected = crypto.createHmac("sha256", secret)
  .update(`${header}.${payload}`)
  .digest("base64url");
const isValid = crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));

Python

import hmac, hashlib, base64
header, payload, sig = token.split(".")
expected = base64.urlsafe_b64encode(
    hmac.new(secret.encode(), f"{header}.{payload}".encode(), hashlib.sha256).digest()
).decode().rstrip("=")
is_valid = hmac.compare_digest(sig, expected)