JWT-dekooderi — purkaa JSON-verkkotunnus verkossa

Liitä koodattu JWT (pitkä eyJ…-merkkijono) syöttökenttään. Työkalu jakaa sen kahdesta pisteestä, purkaa otsikon ja hyötykuorman Base64URL-muodosta ja näyttää kummankin JSON:n sekä raa'an allekirjoitussegmentin – kaikki ilman yhtäkään verkkopyyntöä.

Ei. Dekooderi vain jäsentää tokenin — se ei tarkista allekirjoitusta salaista tai julkista avainta vastaan, koska vahvistus vaatii myöntäjän avainmateriaalin. Käytä palvelinpuolen JWT-kirjastoa tuotannon vahvistukseen; tämä työkalu on tarkoitettu tarkasteluun ja virheenkorjaukseen.

Saat otsikon (algoritmi ja avaimen tunnus), hyötykuorman väittämät (sub, iss, aud, iat, exp ja mahdolliset mukautetut väittämät) sekä raa'an allekirjoituksen. Vakioaikaleimaväittämät muotoillaan ihmisen luettaviksi päivämääriksi, jotta huomaat vanhentuneet tunnukset yhdellä silmäyksellä.

Jos hyötykuorma sisältää vakiomuotoisen "exp"-väitteen, työkalu vertaa sitä nykyiseen aikaan ja näyttää joko "Voimassa" tai "Token vanheni" tarkan aikaleiman kanssa. Tokeneilla, joilla ei ole exp-väitettä, ilmoitetaan olevan voimassa rajattomasti.

Kuka tahansa, joka lukee JWT:n hyötykuorman, voi käyttää sitä sen vanhenemiseen asti, joten tuotantotunnukset kuuluvat yksityisiin työkaluihin. Tämä dekooderi toimii kokonaan selaimessasi eikä koskaan lähetä tunnusta eteenpäin, mutta turvallisempi sääntö on dekoodata lyhytikäisiä kehitystunnuksia aina kun mahdollista.

JWT:ssä on kolme Base64URL-koodattua osaa pisteillä erotettuna: otsake (allekirjoitusalgoritmi), hyötykuorma (väittämät, jotka myöntäjä haluaa varmentajan luottavan) ja allekirjoitus (MAC tai digitaalinen allekirjoitus, joka kattaa header.payload-osan). Dekoodaus ei koskaan tarvitse avainta — vain varmennus tarvitsee.

Kompakti, URL-turvallinen token, joka koostuu kolmesta Base64URL-osasta — otsake, hyötykuorma ja allekirjoitus — ja kuljettaa allekirjoitettuja väittämiä, kuten käyttäjätunnusta ja vanhentumisaikaa. Sitä käytetään laajasti tilattomiin kirjautumisistuntoihin ja API-pyyntöjen suojaamiseen. Liitä token yllä, niin näet sen otsakkeen ja hyötykuorman.

Puretun otsikon ja hyötykuorman alla liitä allekirjoitussalaisuus (HS256:lle) tai myöntäjän julkinen avain PEM- tai JWK-muodossa (RS256:lle, ES256:lle ja vastaaville) Vahvista allekirjoitus -kenttään ja napsauta sitten Vahvista. Ilmestyvä merkki kertoo, onko allekirjoitus voimassa, virheellinen vai käyttääkö se algoritmia, jota selainpuolen vahvistin ei tue — kaikki lasketaan paikallisesti lähettämättä tokenia tai avainta minnekään.

HMAC-algoritmeille kuten HS256 liität raa'an jaetun salaisuusmerkkijonon. Epäsymmetrisille algoritmeille kuten RS256, RS384 tai ES256 tarvitset myöntäjän julkisen avaimen — ei koskaan yksityistä avainta — toimitettuna PEM-lohkona tai JWK:na; epäsymmetrisen avainparin väärän puolikkaan liittäminen aiheuttaa varmennuksen epäonnistumisen, vaikka token olisi kelvollinen.

Vahvista allekirjoitus -paneeli tukee jokaista valtavirran JOSE-algoritmia: HS256/384/512 (HMAC jaetulla salaisuudella), RS256/384/512 (RSASSA-PKCS1-v1_5 RSA-julkisella avaimella), PS256/384/512 (RSA-PSS RSA-julkisella avaimella) ja ES256/384/512 (ECDSA vastaavan P-256/P-384/P-521-käyrän yli). Tunnukset, jotka on allekirjoitettu "none"-arvolla tai millä tahansa tämän listan ulkopuolisella algoritmilla, raportoidaan aina ei-tuettuina eikä merkitä kelvollisiksi, mikä myös suojaa sinua klassiselta alg=none -väärennystempulta.

Yleisin syy on ylimääräisen välilyönnin tai loppuun jäävän rivinvaihdon liittäminen salaisuuslaatikkoon — vahvistin tiivistää tarkalleen syöttämäsi tavut, joten kopioi-liitä-artefakti rikkoo täsmäyksen. Tarkista myös kahdesti, että vahvistat nykyistä tunnusta: jos JWT annettiin uudelleen sen jälkeen, kun kopioit sen, tai palveluntarjoajan salaisuus on base64-koodattu raakamerkkijonon sijaan, dekoodaa se ensin ennen liittämistä.

Napsauta Try sample JWT ladataksesi demo-HS256-tunnisteen, jossa on sub-, name-, iat- ja exp-väitteet, jotta näet dekoodauksen ja vanhenemisen tarkistuksen toiminnassa ennen oman tunnisteesi liittämistä. Kun tunniste on laatikossa, sen viereen tulee Clear-painike, joka tyhjentää syötteen yhdellä napsautuksella.

Jokaisella otsikko-, hyötykuorma- ja allekirjoituspaneelilla on oma Kopioi-painikkeensa oikeassa yläkulmassaan, joka kopioi vain kyseisen osan JSON-sisällön (tai raa'an allekirjoitusmerkkijonon) leikepöydällesi. Paneelien alla on myös päänäppäin Kopioi hyötykuorma yleisintä tapausta varten, jossa haluat napata vain väittämät liitettäväksi virheenkorjaimeen tai vikaraporttiin.

Kopioi Authorization-otsikon 'Bearer '-sanan jälkeinen arvo — eyJ…-osa on itse JWT — ja liitä se dekooderiin nähdäksesi otsikon, payload-vaatimukset ja vanhentumistilan heti. Jos otat koko 'Bearer eyJ…' -merkkijonon, poista ensin 'Bearer '-etuliite, jotta tokenissa on tasan kolme pisteellä erotettua osaa.

Ei — tämä on dekooderi ja katseluohjelma, ei JWT-editori. Hyötykuorman muuttaminen mitätöisi allekirjoituksen, joten mikä tahansa tokenin varmentava palvelin hylkäisi muunnellun version. Vaatimusten muuttamiseksi sinun on luotava uusi token, joka on allekirjoitettu oikealla salaisuudella tai yksityisellä avaimella. Käytä dekooderia tokenien lukemiseen ja virheenjäljitykseen, ei niiden muokkaamiseen.

Ei – JWT Decoder toimii kokonaan selaimessasi, joten se, mitä liität, ei koskaan poistu koneesta, jolla käytät. Tällä on merkitystä, jos tarkistat jotain, joka sisältää tunnuksen, avaimen tai asiakastietoja. Välilehden sulkeminen riittää tyhjentämään sen.

Ensimmäisessä paikassa olevat virhekohdat, joita ei voitu jäsentää, mikä on yleensä heti todellisen virheen jälkeen eikä sen päällä – puuttuva pilkku, sulkematon lainaus tai hakasulku tai dokumentista liitetty älykäs lainaus suoran sijaan. Tarkista ensin raportoidun sijainnin yläpuolella oleva rivi.

Ei molemmille. JWT Decoder on ilmainen, latauksesi sisällä ei ole vesileimaa, eikä mitään kysytä lopussa – ei ole mitään järkeä prosessissa, jossa lopetat työn ja huomaat sen maksavan.

Ei. JWT Decoder toimii selaimessa tietokoneella ja puhelimella. Mitään ei tarvitse asentaa, kokeilua aloittaa tai lisenssiä ostaa ennen kuin näet, sopiiko se tarpeeseesi. Kokeile sitä omalla ongelmatiedostollasi esimerkin sijaan.