JWT-avkodare – Avkoda JSON-webbtokens och checkutgång online

Klistra in den kodade JWT (den långa eyJ... sträng) i inmatningsboxen. Verktyget delar upp det på två punkter, Base64URL-avkodar headern och nyttolasten, och visar JSON för varje plus det råa signatursegmentet — allt utan att göra någon nätverksförfrågan.

Nej. Dekodern tolkar endast token — den kontrollerar inte signaturen mot en hemlig eller publik nyckel, eftersom verifiering kräver utgivarens nyckelmaterial. Använd ett server-sida JWT-bibliotek för produktionsverifiering; Detta verktyg är till för inspektion och felsökning.

Du får headern (algoritmen och nyckel-id), payload-anspråken (sub, iss, aud, iat, exp och eventuella anpassade anspråk) och råsignaturen. Standardtidsstämpelpåståenden är utformade som människoläsbara datum så att du kan se föråldrade tokens direkt.

Om nyttolasten innehåller det vanliga "exp"-påståendet jämför verktyget det med aktuell tid och visar antingen "Giltigt till" eller "Token utgången at" med exakt tidsstämpel. Tokens utan exp-anspråk rapporteras som utan utgång.

Alla som läser nyttolasten från en JWT kan använda den tills den går ut, så produktionstokens hör hemma i privata verktyg. Denna avkodare körs helt i din webbläsare och överför aldrig tokenen, men den säkrare regeln är att avkoda kortlivade utvecklingstokens när det är möjligt.

En JWT har tre Base64URL-kodade segment separerade av prickar: header (signeringsalgoritm), payload (påståenden som utgivaren vill att verifieraren ska lita på) och signatur (en MAC- eller digital signatur över header.payload). Avkodning behöver aldrig en nyckel – bara verifiering gör det.