Công cụ giải mã JWT - Giải mã JSON Web Token và kiểm tra hạn sử dụng trực tuyến

Dán JWT đã mã hóa (chuỗi eyJ… dài) vào ô nhập liệu. Công cụ tách nó tại hai dấu chấm, giải mã Base64URL phần header và payload, và hiển thị JSON của mỗi phần cùng đoạn chữ ký thô — tất cả mà không gửi bất kỳ yêu cầu mạng nào.

Không. Trình giải mã chỉ phân tích token — nó không kiểm tra chữ ký với khóa bí mật hay khóa công khai, vì việc xác minh đòi hỏi tài liệu khóa của bên phát hành. Hãy dùng thư viện JWT phía máy chủ để xác minh trong môi trường vận hành; công cụ này dành cho việc kiểm tra và gỡ lỗi.

Bạn nhận được phần header (thuật toán và key id), các claim trong payload (sub, iss, aud, iat, exp và bất kỳ claim tùy chỉnh nào) và chữ ký thô. Các claim dấu thời gian tiêu chuẩn được định dạng thành ngày tháng dễ đọc để bạn nhận ra ngay các token đã hết hạn chỉ trong một cái liếc.

Nếu phần payload chứa claim "exp" tiêu chuẩn, công cụ sẽ so sánh nó với thời gian hiện tại và hiển thị "Có hiệu lực đến" hoặc "Token đã hết hạn lúc" kèm dấu thời gian chính xác. Các token không có claim exp được báo là không có thời hạn.

Bất kỳ ai đọc được phần payload của một JWT đều có thể sử dụng nó cho đến khi nó hết hạn, vì vậy token sản xuất chỉ nên dùng trong các công cụ riêng tư. Trình giải mã này chạy hoàn toàn trong trình duyệt của bạn và không bao giờ truyền token đi, nhưng quy tắc an toàn hơn là giải mã các token phát triển có thời hạn ngắn bất cứ khi nào có thể.

Một JWT có ba đoạn được mã hóa Base64URL ngăn cách bởi dấu chấm: header (thuật toán ký), payload (các thông tin mà bên phát hành muốn bên xác minh tin tưởng) và signature (một MAC hoặc chữ ký số trên header.payload). Việc giải mã không bao giờ cần khóa — chỉ việc xác minh mới cần.

Một token nhỏ gọn, an toàn cho URL gồm ba phân đoạn Base64URL — header, payload và chữ ký — mang theo các thông tin đã ký như ID người dùng và thời điểm hết hạn. Nó được dùng rộng rãi cho các phiên đăng nhập không trạng thái và bảo mật yêu cầu API. Dán một token vào ô trên để kiểm tra header và payload của nó.

Bên dưới phần header và payload đã giải mã, hãy dán khóa bí mật ký (cho HS256) hoặc khóa công khai của bên phát hành ở định dạng PEM hoặc JWK (cho RS256, ES256 và tương tự) vào ô Verify signature, rồi nhấp Verify. Huy hiệu xuất hiện sẽ cho biết chữ ký là hợp lệ, không hợp lệ, hay dùng một thuật toán mà bộ xác minh phía trình duyệt không hỗ trợ — tất cả được tính toán cục bộ, mà không gửi token hay khóa đi bất cứ đâu.

Với các thuật toán HMAC như HS256, bạn dán chuỗi bí mật dùng chung thô. Với các thuật toán bất đối xứng như RS256, RS384 hoặc ES256, bạn cần khóa công khai của bên phát hành — không bao giờ là khóa riêng — được cung cấp dưới dạng khối PEM hoặc JWK; dán nhầm nửa còn lại của cặp khóa bất đối xứng sẽ khiến việc xác minh thất bại ngay cả khi token hợp lệ.

Bảng Verify signature hỗ trợ mọi thuật toán JOSE phổ biến: HS256/384/512 (HMAC với khóa bí mật dùng chung), RS256/384/512 (RSASSA-PKCS1-v1_5 với khóa công khai RSA), PS256/384/512 (RSA-PSS với khóa công khai RSA) và ES256/384/512 (ECDSA trên đường cong P-256/P-384/P-521 tương ứng). Các token ký bằng "none" hoặc bất kỳ thuật toán nào ngoài danh sách này luôn được báo là không được hỗ trợ chứ không đánh dấu là hợp lệ, điều này cũng bảo vệ bạn khỏi chiêu giả mạo alg=none kinh điển.

Nguyên nhân phổ biến nhất là dán thêm khoảng trắng hoặc một ký tự xuống dòng ở cuối vào ô khóa bí mật — trình xác minh băm chính xác các byte bạn nhập, nên một lỗi sao chép-dán làm hỏng sự khớp. Cũng hãy kiểm tra kỹ rằng bạn đang xác minh token hiện tại: nếu JWT được cấp lại sau khi bạn sao chép nó, hoặc khóa bí mật của nhà cung cấp được mã hóa base64 chứ không phải một chuỗi thô, hãy giải mã nó trước khi dán vào.

Nhấn Thử mẫu JWT để tải một token HS256 demo có các claim sub, name, iat và exp, để bạn thấy việc giải mã và kiểm tra hết hạn hoạt động trước khi dán token của riêng bạn. Khi đã có token trong ô, một nút Xóa xuất hiện bên cạnh giúp làm sạch dữ liệu nhập về trống chỉ bằng một cú nhấn.

Mỗi bảng Header, Payload và Signature có nút Sao chép riêng ở góc trên bên phải, chỉ sao chép JSON của phần đó (hoặc chuỗi chữ ký thô) vào bảng tạm. Ngoài ra còn có nút chính Sao chép Payload bên dưới các bảng cho trường hợp phổ biến nhất là lấy riêng các claim để dán vào trình gỡ lỗi hoặc báo cáo lỗi.

Sao chép giá trị sau 'Bearer ' trong tiêu đề Authorization — phần eyJ… chính là JWT — rồi dán vào công cụ giải mã để xem ngay phần header, các payload claims và trạng thái hết hạn. Nếu bạn lấy toàn bộ chuỗi 'Bearer eyJ…', hãy xóa tiền tố 'Bearer ' trước để token có đúng ba phần cách nhau bởi dấu chấm.

Không — đây là công cụ giải mã và xem, không phải trình chỉnh sửa JWT. Thay đổi phần payload sẽ làm mất hiệu lực chữ ký, nên bất kỳ máy chủ nào xác minh token cũng sẽ từ chối phiên bản đã bị chỉnh sửa. Để thay đổi các claim, bạn phải phát hành một token mới được ký bằng đúng secret hoặc private key. Hãy dùng công cụ giải mã để đọc và gỡ lỗi token, không phải để chỉnh sửa chúng.