JWT-dekoder — Afkod et JSON-webtoken online

Indsæt den kodede JWT (den lange eyJ…-streng) i inputfeltet. Værktøjet deler den ved de to punktummer, Base64URL-afkoder headeren og payloaden og viser JSON'en for hver plus det rå signatursegment — alt sammen uden at sende nogen netværksforespørgsel.

Nej. Afkoderen parser kun tokenet — den kontrollerer ikke signaturen mod en hemmelig eller offentlig nøgle, fordi verificering kræver udstederens nøglemateriale. Brug et JWT-bibliotek på serversiden til verificering i produktion; dette værktøj er til inspektion og fejlfinding.

Du får headeren (algoritme og nøgle-id), payload-claims (sub, iss, aud, iat, exp og eventuelle brugerdefinerede claims) og den rå signatur. Standard-tidsstempel-claims formateres som læsbare datoer, så du kan opdage forældede tokens med et enkelt blik.

Hvis nyttelasten indeholder standard-claimet "exp", sammenligner værktøjet det med det aktuelle tidspunkt og viser enten "Gyldig indtil" eller "Token udløb kl." med det præcise tidsstempel. Tokens uden et exp-claim rapporteres som havende ingen udløbsdato.

Alle, der kan læse indholdet af en JWT, kan bruge den, indtil den udløber, så produktionstokens hører hjemme i private værktøjer. Denne afkoder kører udelukkende i din browser og sender aldrig token videre, men den sikreste regel er at afkode kortlivede udviklingstokens, når det er muligt.

En JWT har tre Base64URL-kodede segmenter adskilt af punktummer: header (signeringsalgoritme), payload (de claims, udstederen vil have verifikatoren til at stole på) og signatur (en MAC eller digital signatur over header.payload). Afkodning kræver aldrig en nøgle — kun verifikation gør.

Et kompakt, URL-sikkert token bestående af tre Base64URL-segmenter — header, payload og signatur — der bærer signerede claims som et bruger-ID og et udløbstidspunkt. Det bruges i vid udstrækning til tilstandsløse login-sessioner og til at sikre API-anmodninger. Indsæt et ovenfor for at inspicere dets header og payload.

Under den afkodede header og payload indsætter du signeringshemmeligheden (for HS256) eller udstederens offentlige nøgle i PEM- eller JWK-format (for RS256, ES256 og lignende) i feltet Verificér signatur og klikker derefter på Verificér. Mærket, der vises, angiver, om signaturen er gyldig, ugyldig eller bruger en algoritme, som verifikatoren på browsersiden ikke understøtter — alt beregnes lokalt uden at sende token eller nøgle nogen steder hen.

For HMAC-algoritmer som HS256 indsætter du den rå delte hemmelighedsstreng. For asymmetriske algoritmer som RS256, RS384 eller ES256 skal du bruge udstederens offentlige nøgle — aldrig den private nøgle — angivet som en PEM-blok eller en JWK; indsætter du den forkerte halvdel af et asymmetrisk nøglepar, fejler verificeringen, selv om tokenet er gyldigt.

Verificér signatur-panelet understøtter alle udbredte JOSE-algoritmer: HS256/384/512 (HMAC med en delt hemmelighed), RS256/384/512 (RSASSA-PKCS1-v1_5 med en offentlig RSA-nøgle), PS256/384/512 (RSA-PSS med en offentlig RSA-nøgle) og ES256/384/512 (ECDSA over den matchende P-256/P-384/P-521-kurve). Tokens signeret med "none" eller enhver algoritme uden for denne liste rapporteres altid som ikke-understøttet i stedet for at blive markeret som gyldige, hvilket også beskytter dig mod det klassiske alg=none-forfalskningstrick.

Den mest almindelige årsag er, at man indsætter ekstra mellemrum eller et efterfølgende linjeskift i hemmelighedsboksen — verificeringsværktøjet hasher præcis de bytes, du indtaster, så en kopiér-indsæt-artefakt bryder matchet. Dobbelttjek også, at du verificerer det aktuelle token: hvis JWT'en blev genudstedt, efter du kopierede den, eller udbyderens hemmelighed er base64-kodet frem for en rå streng, så afkod den først, før du indsætter den.

Klik på Prøv eksempel-JWT for at indlæse en demo-HS256-token med sub-, name-, iat- og exp-claims, så du kan se afkodning og udløbstjek fungere, før du indsætter din egen token. Når en token er i feltet, vises en Ryd-knap ved siden af den, som tømmer inputtet igen med ét klik.

Hvert af panelerne Header, Payload og Signature har sin egen Kopiér-knap i øverste højre hjørne, der kun kopierer det pågældende afsnits JSON (eller den rå signaturstreng) til udklipsholderen. Der er også en primær Copy Payload-knap under panelerne til det mest almindelige tilfælde, hvor du blot vil gribe claims for at indsætte dem i en debugger eller en fejlrapport.

Kopiér værdien efter 'Bearer ' i Authorization-headeren — eyJ…-delen er selve JWT'et — og indsæt den i dekoderen for straks at se header, payload-claims og udløbsstatus. Hvis du kopierer hele strengen 'Bearer eyJ…', skal du først fjerne præfikset 'Bearer ', så tokenet har præcis tre dele adskilt af punktummer.

Nej — dette er en decoder og fremviser, ikke en JWT-editor. Ændrer du payloaden, ugyldiggøres signaturen, så enhver server, der verificerer tokenet, vil afvise den manipulerede version. Skal du ændre claims, skal du udstede et nyt token signeret med den korrekte secret eller private nøgle. Brug decoderen til at læse og fejlsøge tokens, ikke til at ændre dem.

Nej — JWT Decoder kører udelukkende i din browser, så det, du indsætter, forlader aldrig den maskine, du er på. Det betyder noget, om du tjekker noget, der indeholder et token, en nøgle eller kundedata. At lukke fanen er nok til at rydde den.

Fejlen peger på den første position, som ikke kunne parses, hvilket normalt er lige efter den rigtige fejl snarere end på den - et manglende komma, et ulukket citat eller parentes eller et smart citat indsat fra et dokument i stedet for et lige. Tjek først linjen over den rapporterede position.

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

Nej — JWT Decoder kører i browseren på computer og telefon. Der er intet at installere, ingen prøveperiode at starte og ingen licens at købe, før du kan se, om værktøjet løser dit behov. Prøv det på den fil, du faktisk sidder fast med, i stedet for på et eksempel.