Dekodér JWT

JWT (JSON Web Token) je kompaktní token bezpečný pro URL, který se používá k ověřování a výměně informací mezi stranami. Dekódování JWT umožňuje zobrazit hlavičku (typ tokenu a algoritmus), užitečné zatížení (deklarace a uživatelská data) a podpis. Vývojáři mohou dekódovat tokeny JWT za účelem ladění problémů s ověřováním, kontroly oprávnění uživatelů nebo pochopení obsahu tokenu během vývoje.

Jednoduše vložte token JWT do vstupního pole a klikněte na tlačítko "Dekódovat JWT". Nástroj token okamžitě rozebere a zobrazí hlavičku a užitečné zatížení v čitelném formátu JSON. Zobrazí se všechny nároky, časy vypršení platnosti, informace o vydavateli a veškerá vlastní data uložená v tokenu.

Ne, tento dekodér zobrazuje pouze obsah hlavičky a užitečného zatížení JWT - neověřuje podpis. Ověření podpisu vyžaduje tajný nebo veřejný klíč, který by nikdy neměl být sdílen nebo zadáván do online nástrojů. V zájmu bezpečnosti vždy ověřujte JWT na straně serveru pomocí příslušných knihoven s tajnými klíči.

Dekódovaný JWT obvykle obsahuje: typ tokenu a podpisový algoritmus v záhlaví a deklarace jako "iss" (issuer), "sub" (subject), "aud" (audience), "exp" (expiration time), "iat" (issued at) a případné vlastní deklarace v užitečném zatížení. Tyto informace vám pomohou pochopit, kdo token vydal, kdy vyprší jeho platnost a jaká oprávnění nebo data obsahuje.

Dekódování souborů JWT na straně klienta je obecně bezpečné, protože soubory JWT jsou navrženy tak, aby je mohl číst kdokoli - jsou zakódovány base64, nikoli šifrovány. Nikdy však nedekódujte soubory JWT obsahující vysoce citlivé údaje pomocí veřejných online nástrojů. Tento nástroj zpracovává tokeny výhradně v prohlížeči bez odesílání dat na servery, ale vyhněte se jeho použití s produkčními tokeny obsahujícími citlivé informace.

JWT mají standardní strukturu se třemi částmi v kódování base64 oddělenými tečkami: header.payload.signature. Záhlaví popisuje typ tokenu a algoritmus, užitečné zatížení obsahuje nároky a data a podpis zajišťuje, že token nebyl zfalšován. Díky této struktuře je JWT kompaktní a bezpečný pro URL při zachování bezpečnosti.

Dekódované soubory JWT obsahují deklaraci "exp" (expirace), což je časové razítko systému Unix. Porovnejte toto časové razítko s aktuálním časem - pokud je aktuální čas větší než hodnota exp, platnost tokenu vypršela. Dekodér zobrazí toto časové razítko v čitelném formátu, aby vám pomohl ověřit platnost tokenu.

"iat" (issued at) udává, kdy byl token vytvořen, "exp" (expiration time) udává, kdy vyprší jeho platnost, a "nbf" (not before) udává, kdy token nabývá platnosti. Tyto časové značky pomáhají kontrolovat životní cyklus tokenu a zabraňují opakovanému použití tokenu v různých časových obdobích.

Ano! Přístupové tokeny OAuth 2.0 a ID tokeny OpenID Connect často používají formát JWT. Jejich dekódování odhaluje rozsahy, oprávnění, identifikátory uživatelů a podrobnosti o ověřování. To je neocenitelné pro ladění ověřovacích toků, ověřování udělených oprávnění a řešení problémů s integrací.

JWT s "algoritmem: žádný" (nazývaný také nezabezpečený JWT) nemá žádné ověření podpisu. To je v produkčním prostředí nebezpečné a často to znamená bezpečnostní zranitelnost. Legitimní JWT by měly používat algoritmy jako RS256, HS256 nebo ES256. Pokud vidíte "žádný", okamžitě to prověřte, protože to může znamenat bezpečnostní problém.