Decodificator JWT

Un JWT (JSON Web Token) este un jeton compact, sigur pentru URL, utilizat pentru autentificare și schimbul de informații între părți. Decodificarea unui JWT vă permite să vizualizați antetul (tipul de jeton și algoritmul), sarcina utilă (revendicările și datele utilizatorului) și semnătura. Dezvoltatorii decodifică JWT-urile pentru a depana problemele de autentificare, pentru a inspecta permisiunile utilizatorilor sau pentru a înțelege conținutul token-urilor în timpul dezvoltării.

Pur și simplu lipiți simbolul JWT în câmpul de introducere și faceți clic pe "Decode JWT". Instrumentul va analiza imediat jetonul și va afișa antetul și sarcina utilă în format JSON lizibil. Veți vedea toate revendicările, termenele de expirare, informațiile emitentului și orice date personalizate stocate în token.

Nu, acest decodor afișează doar antetul și conținutul util al JWT - nu verifică semnătura. Verificarea semnăturii necesită cheia secretă sau cheia publică, care nu trebuie niciodată partajată sau introdusă în instrumentele online. Pentru securitate, verificați întotdeauna JWT-urile în partea serverului utilizând biblioteci adecvate cu cheile dvs. secrete.

Un JWT decodificat arată de obicei: tipul de jeton și algoritmul de semnare în antet; și declarații precum "issuer" (emitent), "sub" (subiect), "aud" (audiență), "exp" (timp de expirare), "iat" (emis la) și orice declarații personalizate în sarcina utilă. Aceste informații vă ajută să înțelegeți cine a emis tokenul, când expiră și ce permisiuni sau date conține.

Decodificarea JWT-urilor pe partea de client este, în general, sigură, deoarece JWT-urile sunt concepute pentru a putea fi citite de oricine - sunt codate în baza64, nu criptate. Cu toate acestea, nu decodați niciodată JWT-uri care conțin date extrem de sensibile utilizând instrumente online publice. Acest instrument procesează token-urile în întregime în browserul dvs. fără a trimite date către servere, dar evitați să îl utilizați cu token-uri de producție care conțin informații sensibile.

JWT-urile urmează o structură standard cu trei părți codificate în baza64 separate prin puncte: header.payload.signature. Antetul descrie tipul de jeton și algoritmul, sarcina utilă conține revendicările și datele, iar semnătura asigură că jetonul nu a fost falsificat. Această structură face ca JWT-urile să fie compacte și sigure pentru URL, menținând în același timp securitatea.

JWT-urile decodificate conțin o valoare "exp" (expirare), care este un timestamp Unix. Comparați acest timestamp cu ora curentă - dacă ora curentă este mai mare decât valoarea exp, jetonul a expirat. Decodificatorul afișează această marcă temporală în format lizibil pentru a vă ajuta să verificați valabilitatea jetonului.

"iat" (issued at) arată când a fost creat jetonul, "exp" (expiration time) indică când expiră, iar "nbf" (not before) precizează când devine valabil jetonul. Aceste marcaje temporale ajută la controlul ciclului de viață al jetonului și împiedică reutilizarea jetonului în perioade de timp diferite.

Da! Jetoanele de acces OAuth 2.0 și jetoanele de identificare OpenID Connect utilizează adesea formatul JWT. Decodarea acestora dezvăluie domenii, permisiuni, identificatori de utilizator și detalii de autentificare. Acest lucru este neprețuit pentru depanarea fluxurilor de autentificare, verificarea permisiunilor acordate și depanarea problemelor de integrare.

Un JWT cu "algorithm: none" (denumit și JWT nesecurizat) nu are nicio verificare a semnăturii. Acest lucru este periculos în producție și indică adesea o vulnerabilitate de securitate. JWT-urile legitime ar trebui să utilizeze algoritmi precum RS256, HS256 sau ES256. Dacă vedeți "none", investigați imediat, deoarece poate indica o problemă de securitate.