Monu Tools

Penyahkod JWT

Decode JSON Web Token untuk memeriksa pengepala dan payload-nya, dengan masa tamat tempoh dan masa pengeluaran yang boleh dibaca manusia. Berjalan sepenuhnya dalam pelayar anda; token tidak pernah dimuat naik.

Cara menggunakan Penyahkod JWT

  1. 01

    Tampal JWT dalam bentuk header.payload.signature.

  2. 02

    Baca pengepala dan payload yang didecode sebagai JSON terformat.

  3. 03

    Semak masa tamat tempoh dan pengeluaran, serta sama ada token telah tamat tempoh.

Soalan lazim

Adakah ia mengesahkan tandatangan?

Tidak. Ia mendecode dan memaparkan pengepala dan payload. Mengesahkan tandatangan memerlukan rahsia penandatanganan atau kunci awam, yang tidak patut anda tampal ke dalam mana-mana alat web.

Apa perbezaan antara mendecode dan mengesahkan?

Mendecode membaca pengepala dan payload Base64url, yang tidak disulitkan. Mengesahkan mengira semula tandatangan dengan kunci untuk membuktikan token adalah sahih dan tidak diubah.

Adakah selamat untuk menampal token saya di sini?

Pendecoding berlaku sepenuhnya dalam pelayar anda, jadi token tidak dimuat naik. Walau bagaimanapun, layani token hidup sebagai rahsia dan elakkan menampalnya di komputer bersama.

Apa maksud exp, iat dan nbf?

Ia adalah tuntutan standard: iat adalah dikeluarkan-pada, nbf adalah tidak-sah-sebelum, dan exp adalah masa tamat tempoh. Penyahkod menukar timestamp Unix ini kepada masa tempatan yang boleh dibaca.

Bolehkah saya mendecode token yang telah tamat tempoh?

Ya. Tamat tempoh tidak mengubah cara token didecode, jadi anda boleh memeriksa tuntutan token yang tamat tempoh dan melihat dengan tepat bila ia luput.

Mengapa payload saya boleh dibaca tanpa kunci?

JWT ditandatangani, bukan disulitkan. Payload hanya dikod dalam Base64url, jadi sesiapa boleh membacanya. Jangan sekali-kali meletakkan rahsia dalam payload JWT.

Tentang alat ini

JSON Web Token mempunyai tiga bahagian yang dipisahkan oleh titik: pengepala yang dikod dalam Base64url, payload yang dikod dalam Base64url, dan tandatangan. Penyahkod ini memisah dan mendecode dua bahagian pertama serta-merta dalam pelayar anda, dan token tidak pernah meninggalkan peranti anda.

Penggunaan paling biasa adalah memeriksa token yang API kembalikan: siapa yang mengeluarkannya (iss), bila ia tamat tempoh (exp), kebenaran apa yang dibawanya (scope atau roles), dan sama ada ia sudah tamat tempoh. Masa tamat tempoh ditunjukkan dalam masa tempatan yang boleh dibaca, bukan timestamp Unix mentah, jadi anda dapat melihat sekilas pandang sama ada token masih sah.

Nota: alat ini mendecode dan memaparkan, ia tidak mengesahkan tandatangan terhadap kunci rahsia. Untuk pengesahan tandatangan anda memerlukan rahsia penandatanganan atau kunci awam, yang tidak seharusnya dimasukkan ke dalam alat berasaskan pelayar.

Alat berkaitan