JWT-avkodare — avkoda och verifiera JWT

Vad JWT-avkodaren gör

JWT Decoder delar upp en JSON Web Token i dess tre punktseparerade segment, base64url-avkodar huvudet och payloaden och skriver ut de JSON-objekten läsbart. Det är användbart vid felsökning av inloggningsflöden, API-auktoriseringshuvuden, OAuth-återanrop, förnyelsebeteende och tester som beror på anspråk som subject, issuer, audience, utfärdandetid och utgångstid. Varje anspråk listas i en tabell med sin standardbetydelse, och tidsanspråk omvandlas åt dig.

Verktyget kan också verifiera signaturen. HMAC-token (HS256, HS384, HS512) behöver den delade hemligheten, som du kan klistra in som vanlig text eller Base64. Asymmetriska token (RS256, PS256, ES256, deras 384/512-varianter och EdDSA) behöver utfärdarens publika nyckel som ett PEM-block av typen PUBLIC KEY eller som en enskild JWK från leverantörens JWKS-slutpunkt. Ett grönt resultat betyder att token signerats med den nyckeln och inte har ändrats; ett rött resultat betyder att nyckeln är fel eller att token manipulerats. Token som använder alg: none markeras som osignerade.

Privat arbetsflöde i webbläsaren

All bearbetning sker med JavaScript och Web Crypto API i webbläsaren. Verktyget laddar inte upp dina token, hemligheter, nycklar, webbadresser eller genererade värden till någon server och kräver inget konto. Den integritetsmodellen är viktig eftersom små verktyg ofta får riktiga API-svar, konfigurationsexempel, loggar, autentiseringsdata eller kundliknande exempel vid felsökning. Att arbeta lokalt minskar risken och gör verktyget ögonblickligt eftersom det inte finns någon nätverksresa.

Att läsa det avkodade resultatet

Standardanspråk som du ofta ser är iss (utfärdare), sub (subjekt), aud (mottagare), exp (utgångstid), nbf (inte före) och iat (utfärdad vid). Tidsanspråken är Unix-tidsstämplar i sekunder; anspråkstabellen visar varje värde som ett ISO 8601-datum i UTC plus en relativ tid som ”om 2 timmar” eller ”för 3 dagar sedan”, och statusraden talar direkt om huruvida token är giltig, utgången eller ännu inte giltig.

Avkodaren förväntar sig exakt tre punktseparerade segment; allt annat ger ett avkodningsfel. Krypterade token (JWE) har fem segment och kan inte läsas utan nyckeln, och ett segment som inte är giltig base64url-JSON misslyckas också. En giltig signatur bevisar vem som utfärdade token, men din applikation måste ändå kontrollera utfärdare, mottagare och utgångstid. Behandla aktiva token som lösenord: även om ingenting lämnar din webbläsare här bör du undvika att klistra in produktionstoken i verktyg du inte litar på eller dela avkodade resultat offentligt.