Декодер на JWT

JWT (JSON Web Token) е компактен токен, защитен от URL, който се използва за удостоверяване и обмен на информация между страни. Декодирането на JWT ви позволява да видите заглавието (тип и алгоритъм на токена), полезния товар (претенции и потребителски данни) и подписа. Разработчиците декодират JWT, за да отстранят проблеми с удостоверяването, да проверят потребителските разрешения или да разберат съдържанието на токена по време на разработката.

Просто поставете своя JWT токен в полето за въвеждане и щракнете върху "Decode JWT". Инструментът веднага ще анализира токена и ще покаже заглавието и полезния товар в четлив JSON формат. Ще видите всички претенции, срокове на валидност, информация за издателя и всички персонализирани данни, съхранени в токена.

Не, този декодер показва само съдържанието на заглавието и полезния товар на JWT - той не проверява подписа. Проверката на подписа изисква тайния или публичния ключ, който никога не трябва да се споделя или да се въвежда в онлайн инструменти. От съображения за сигурност винаги проверявайте JWT от страна на сървъра, като използвате подходящи библиотеки с тайните си ключове.

Декодираният JWT обикновено показва: типа на токена и алгоритъма за подписване в заглавието; и твърдения като "iss" (издател), "sub" (субект), "aud" (аудитория), "exp" (време на изтичане), "iat" (издаден в) и всякакви персонализирани твърдения в полезния товар. Тази информация ви помага да разберете кой е издал токена, кога изтича срокът му на валидност и какви разрешения или данни съдържа.

Декодирането на JWT от страна на клиента като цяло е безопасно, тъй като JWT са проектирани така, че да могат да се четат от всеки - те са кодирани по base64, а не криптирани. Никога обаче не декодирайте JWT, съдържащи изключително чувствителни данни, с помощта на публични онлайн инструменти. Този инструмент обработва токените изцяло в браузъра ви, без да изпраща данни към сървъри, но избягвайте да го използвате с производствени токени, съдържащи чувствителна информация.

JWT следват стандартна структура с три части, кодирани по base64, разделени с точки: header.payload.signature. Заглавието описва типа и алгоритъма на токена, полезният товар съдържа претенциите и данните, а подписът гарантира, че токенът не е бил подправен. Тази структура прави JWT компактни и безопасни за URL, като същевременно запазва сигурността.

Декодираните JWT съдържат претенция за "exp" (изтичане на срока), която представлява времева марка на Unix. Сравнете този времеви печат с текущото време - ако текущото време е по-голямо от стойността на exp, токенът е изтекъл. Декодерът показва този времеви печат в четлив формат, за да ви помогне да проверите валидността на токена.

"iat" (issued at) показва кога е създаден токенът, "exp" (expiration time) - кога изтича срокът му на валидност, а "nbf" (not before) - кога токенът става валиден. Тези времеви маркери помагат да се контролира жизненият цикъл на токена и да се предотврати повторното му използване в различни времеви периоди.

Да! Токените за достъп OAuth 2.0 и идентификационните токени OpenID Connect често използват формат JWT. Декодирането им разкрива обхвата, разрешенията, идентификаторите на потребителите и данните за удостоверяване. Това е безценно за отстраняване на грешки в потоците за удостоверяване, проверка на предоставените разрешения и отстраняване на проблеми с интеграцията.

JWT с "алгоритъм: няма" (наричан още незащитен JWT) няма проверка на подписа. Това е опасно в производството и често показва уязвимост в сигурността. Легитимните JWT трябва да използват алгоритми като RS256, HS256 или ES256. Ако видите "няма", проучете незабавно, тъй като това може да означава проблем със сигурността.