See inside any JWT — header, payload and expiry

Klistra in den kodade JWT:n (den långa eyJ…-strängen) i inmatningsrutan. Verktyget delar upp den vid de två punkterna, Base64URL-avkodar headern och payloaden och visar JSON för var och en plus det råa signatursegmentet – allt utan att göra någon nätverksförfrågan.

Nej. Avkodaren tolkar bara token — den kontrollerar inte signaturen mot en hemlig eller offentlig nyckel, eftersom verifiering kräver utfärdarens nyckelmaterial. Använd ett JWT-bibliotek på serversidan för verifiering i produktion; det här verktyget är till för inspektion och felsökning.

Du får headern (algoritm och nyckel-id), payload-anspråken (sub, iss, aud, iat, exp och eventuella anpassade anspråk) och den råa signaturen. Standardanspråk med tidsstämplar formateras som läsbara datum så att du snabbt kan upptäcka utgångna tokens.

Om nyttolasten innehåller standardanspråket "exp" jämför verktyget det med aktuell tid och visar antingen "Giltig till" eller "Token upphörde att gälla" med den exakta tidsstämpeln. Tokens utan exp-anspråk rapporteras som att de inte har någon utgångstid.

Vem som helst som läser nyttolasten i en JWT kan använda den tills den löper ut, så produktionstokens hör hemma i privata verktyg. Den här avkodaren körs helt i din webbläsare och överför aldrig token, men den säkrare regeln är att avkoda kortlivade utvecklingstokens när det är möjligt.

En JWT har tre Base64URL-kodade segment åtskilda av punkter: header (signeringsalgoritm), payload (de claims som utfärdaren vill att verifieraren ska lita på) och signatur (en MAC eller digital signatur över header.payload). Avkodning kräver aldrig en nyckel – det gör bara verifiering.

En kompakt, URL-säker token som består av tre Base64URL-segment — header, payload och signatur — som bär signerade anspråk som ett användar-ID och en utgångstid. Den används flitigt för tillståndslösa inloggningssessioner och för att säkra API-förfrågningar. Klistra in en ovan för att granska dess header och payload.

Under den avkodade huvuddelen och nyttolasten klistrar du in signeringshemligheten (för HS256) eller utfärdarens publika nyckel i PEM- eller JWK-format (för RS256, ES256 och liknande) i rutan Verifiera signatur, och klickar sedan på Verifiera. Märket som visas anger om signaturen är giltig, ogiltig, eller använder en algoritm som verifieraren i webbläsaren inte stöder — allt beräknas lokalt, utan att skicka token eller nyckel någonstans.

För HMAC-algoritmer som HS256 klistrar du in den råa delade hemliga strängen. För asymmetriska algoritmer som RS256, RS384 eller ES256 behöver du utfärdarens publika nyckel — aldrig den privata nyckeln — angiven som ett PEM-block eller en JWK; att klistra in fel hälft av ett asymmetriskt nyckelpar gör att verifieringen misslyckas även om token är giltig.

Panelen Verifiera signatur stöder varje etablerad JOSE-algoritm: HS256/384/512 (HMAC med en delad hemlighet), RS256/384/512 (RSASSA-PKCS1-v1_5 med en publik RSA-nyckel), PS256/384/512 (RSA-PSS med en publik RSA-nyckel) och ES256/384/512 (ECDSA över den matchande P-256/P-384/P-521-kurvan). Tokens signerade med "none" eller någon algoritm utanför denna lista rapporteras alltid som ej stödda snarare än markeras som giltiga, vilket också skyddar dig från det klassiska alg=none-förfalskningsknepet.

Den vanligaste orsaken är att klistra in extra blanksteg eller en avslutande radbrytning i hemlighetsrutan — verifieraren hashar exakt de byte du anger, så en kopiera-och-klistra-artefakt bryter matchningen. Dubbelkolla också att du verifierar den aktuella token: om JWT:n gavs ut på nytt efter att du kopierade den, eller om leverantörens hemlighet är base64-kodad snarare än en råsträng, avkoda den först innan du klistrar in den.

Klicka på Prova exempel-JWT för att läsa in en demo-HS256-token med anspråken sub, name, iat och exp så att du kan se avkodning och kontroll av giltighetstid fungera innan du klistrar in din egen token. När en token finns i rutan visas en Rensa-knapp bredvid den som tömmer inmatningen med ett enda klick.

Var och en av panelerna Header, Payload och Signature har en egen Kopiera-knapp i det övre högra hörnet som kopierar endast den sektionens JSON (eller den råa signatursträngen) till urklipp. Det finns också en primär Copy Payload-knapp under panelerna för det vanligaste fallet att bara hämta anspråken för att klistra in i en debugger eller felrapport.

Kopiera värdet efter 'Bearer ' i Authorization-headern — delen som börjar med eyJ… är själva JWT-token — och klistra in det i avkodaren för att omedelbart se header, payload-claims och utgångsstatus. Om du kopierar hela strängen 'Bearer eyJ…' måste du först ta bort prefixet 'Bearer ' så att token har exakt tre delar separerade med punkt.

Nej — det här är en avkodare och visare, inte en JWT-redigerare. Att ändra payloaden skulle ogiltigförklara signaturen, så varje server som verifierar token skulle avvisa den manipulerade versionen. För att ändra claims måste du utfärda en ny token signerad med rätt hemlighet eller privat nyckel. Använd avkodaren för att läsa och felsöka tokens, inte för att ändra dem.