Dekoder JWT
Dekoduj i analizuj JSON Web Tokens (JWT) ze szczegółową analizą claimów
Struktura tokenu
00
Algorytm
—
Claimy
0
Status tokenu
—
Wklej swój token JWT tutaj...
01
Czym jest JWT?
JSON Web Token, czyli JWT, to zwarty ciąg znaków przenoszący tak zwane claimy, na przykład kim jest użytkownik i kiedy wygasa dostęp. Składa się z trzech części oddzielonych kropkami: nagłówka, payloadu i sygnatury. Nagłówek i payload to JSON zakodowany w Base64 URL-safe, więc każdy może je odczytać. Sygnatura pozwala serwerowi potwierdzić, że token nie został zmieniony.
Ten dekoder dzieli token, pokazuje nagłówek i payload jako sformatowany JSON i zamienia claimy exp, iat i nbf na czytelne daty z bieżącym statusem ważności. Tylko dekoduje i nie weryfikuje sygnatury. Token jest dekodowany w przeglądarce i nigdy nie jest przesyłany, więc możesz sprawdzać tokeny produkcyjne bez wysyłania ich do zewnętrznego serwisu.
02
Jak zdekodować token JWT
- Wklej token w pole lub kliknij Załaduj przykład, aby go wypróbować.
- Odczytaj z nagłówka algorytm podpisu i typ tokenu.
- Odczytaj z payloadu claimy, z datami w twoim czasie lokalnym.
- Sprawdź status tokenu, aby zobaczyć, czy jest aktywny, czy wygasły.
- Skopiuj nagłówek lub payload jako JSON, jeśli potrzebujesz ich gdzie indziej.
03
Dekoder JWT – najczęstsze pytania
- Czym są nagłówek, payload i sygnatura JWT?
- Nagłówek określa algorytm podpisu, na przykład HS256 lub RS256, oraz typ tokenu. Payload zawiera claimy: zarejestrowane, takie jak sub, iss, aud i exp, oraz dowolne własne dane. Sygnatura jest obliczana z nagłówka i payloadu przy użyciu sekretu lub klucza prywatnego, więc każda zmiana którejkolwiek części ją unieważnia.
- Czy wklejanie tokenu JWT tutaj jest bezpieczne?
- Token jest dekodowany w tej karcie przeglądarki i nigdy nie jest wysyłany na serwer, rejestrowany ani zapisywany, więc wklejenie tu tokenu produkcyjnego go nie ujawnia. Mimo to traktuj tokeny jak hasła: każdy, kto ma ważny token, może go używać aż do wygaśnięcia. Po zakończeniu wyczyść pole i nie udostępniaj zrzutów ekranu z payloadem.
- Co oznaczają exp, iat i nbf?
- To znaczniki czasu Unix w sekundach. exp to czas wygaśnięcia, po którym token musi zostać odrzucony. iat to moment wystawienia tokenu, a nbf to czas, przed którym token nie może zostać zaakceptowany. Dekoder pokazuje każdy z nich jako datę w twoim czasie lokalnym. Inne znaczniki czasu przeliczysz konwerterem Unix timestamp.
- Czy to narzędzie weryfikuje sygnaturę JWT?
- Nie. Dekoduje nagłówek i payload, ale nie sprawdza sygnatury, więc zdekodowany token nie dowodzi, że jest autentyczny. Weryfikacja wymaga sekretu w przypadku algorytmów HMAC lub klucza publicznego dla RSA i ECDSA i powinna odbywać się na serwerze, przy użyciu aktywnie rozwijanej biblioteki JWT.
04