Dekoder JWT — dekodowanie i weryfikacja podpisu

Co robi Dekoder JWT

Dekoder JWT dzieli token JSON Web Token na trzy segmenty oddzielone kropkami, dekoduje nagłówek i payload z base64url oraz wyświetla te obiekty JSON w czytelnej formie. Jest przydatny przy debugowaniu procesów logowania, nagłówków autoryzacji API, callbacków OAuth, działania odświeżania oraz testów zależnych od claimów, takich jak subject, issuer, audience, czas wystawienia i czas wygaśnięcia. Każdy claim jest wypisany w tabeli wraz ze standardowym znaczeniem, a claimy czasowe są konwertowane za Ciebie.

Narzędzie potrafi też zweryfikować podpis. Tokeny HMAC (HS256, HS384, HS512) wymagają współdzielonego sekretu, który możesz wkleić jako zwykły tekst lub Base64. Tokeny asymetryczne (RS256, PS256, ES256, ich warianty 384/512 oraz EdDSA) wymagają klucza publicznego wystawcy w postaci bloku PEM PUBLIC KEY lub pojedynczego JWK z punktu końcowego JWKS dostawcy. Zielony wynik oznacza, że token został podpisany tym kluczem i nie został zmodyfikowany; czerwony oznacza, że klucz jest nieprawidłowy lub token został zmanipulowany. Tokeny używające alg: none są oznaczane jako niepodpisane.

Prywatny przepływ pracy w przeglądarce

Całe przetwarzanie odbywa się za pomocą JavaScriptu w przeglądarce i Web Crypto API. Narzędzie nie wysyła na serwer Twoich tokenów, sekretów, kluczy, adresów URL ani wygenerowanych wartości i nie wymaga konta. Ten model prywatności jest ważny, ponieważ małe narzędzia podczas rozwiązywania problemów często otrzymują prawdziwe odpowiedzi API, przykłady konfiguracji, logi, dane uwierzytelniające lub dane przypominające dane klientów. Praca lokalna zmniejsza ryzyko i sprawia, że narzędzie działa natychmiast, bo nie ma komunikacji sieciowej.

Jak czytać zdekodowany wynik

Standardowe claimy, które będziesz często widzieć, to iss (wystawca), sub (podmiot), aud (odbiorca), exp (wygaśnięcie), nbf (nie przed) i iat (wystawiono). Claimy czasowe to znaczniki czasu Unix w sekundach; tabela claimów pokazuje każdy z nich jako datę UTC w formacie ISO 8601 oraz czas względny, taki jak „in 2 hours” lub „3 days ago”, a wiersz stanu od razu mówi, czy token jest ważny, wygasły, czy jeszcze nieważny.

Dekoder oczekuje dokładnie trzech segmentów oddzielonych kropkami; wszystko inne powoduje błąd dekodowania. Tokeny szyfrowane (JWE) mają pięć segmentów i nie można ich odczytać bez klucza, a segment, który nie jest poprawnym JSON-em w base64url, również zakończy się błędem. Poprawny podpis dowodzi, kto wystawił token, ale Twoja aplikacja nadal musi sprawdzić wystawcę, odbiorcę i czas ważności. Traktuj aktualne tokeny jak hasła: choć nic tu nie opuszcza Twojej przeglądarki, unikaj wklejania tokenów produkcyjnych do narzędzi, którym nie ufasz, oraz publicznego udostępniania zdekodowanego wyniku.