Dekodowanie dowolnego JWT, weryfikacja podpisu i podpisywanie nowych tokenów, wszystko w przeglądarce
Działa w przeglądarce. Wpisane dane nie są nigdzie wysyłane.JWT przenosi swoje claimy jawnie, więc każdy, kto ma token, może je odczytać, bo Base64 to kodowanie, a nie szyfrowanie. Narzędzie dekoduje 3 części, pokazuje termin wygaśnięcia oraz weryfikuje lub podpisuje token algorytmem HS256, RS256 lub ES256. Token nigdy nie opuszcza przeglądarki.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Na karcie "Dekoduj i weryfikuj" wklej token w polu Zakodowany token.
Przeczytaj panele Nagłówek, Payload i Objaśnienie claimów, które pojawią się obok.
Wpisz sekret albo klucz publiczny w formacie PEM lub JWK w polu klucza i kliknij Weryfikuj.
Odczytaj wynik: "Podpis zweryfikowany" lub "Podpis nieprawidłowy".
Aby utworzyć token testowy, otwórz "Koduj i podpisz", wybierz Algorytm i czas ważności, dodaj klucz i kliknij Podpisz token.
Ten dekoder JWT odczytuje dowolny JSON Web Token i pokazuje nagłówek, payload i podpis jako trzy części w dopasowanych kolorach. Każdy standardowy claim dostaje wiersz objaśnienia prostym językiem, termin wygaśnięcia zamienia się w prawdziwą datę z plakietką "ważny" lub "wygasł", a podpis można zweryfikować algorytmem HS256, HS384, HS512, RS256 lub ES256.
Przydaje się, gdy logowanie nagle przestaje działać i trzeba ustalić, czy token wygasł, czy został wydany dla innego odbiorcy. To także najszybszy sposób, by zobaczyć, co zewnętrzne API naprawdę umieszcza w tokenach dostępu, zanim powstanie kod zależny od jakiegoś claimu. Karta kodowania obsługuje kierunek odwrotny: przy budowie przepływu uwierzytelniania, gdy potrzebny jest token z określonym podmiotem, zakresem i terminem ważności do testów własnej usługi, można edytować JSON, wybrać algorytm, ustawić ważność i podpisać sekretem lub wygenerowaną testową parą kluczy.
Wszystko działa w przeglądarce dzięki WebCrypto API. Tokeny, sekrety i klucze nigdy nie są nigdzie wysyłane ani zapisywane, więc można bezpiecznie wklejać prawdziwe tokeny. Podpisywanie tutaj służy do testowania własnych systemów; tokeny produkcyjne powinny pochodzić z serwera uwierzytelniania, z kluczem, który ma tylko on.
Ctrl+Enter weryfikuje lub podpisuje. Narzędzie Base64 dekoduje pojedynczy segment ręcznie, a Password Generator tworzy losowy sekret dla HS256.
Tak. Dekodowanie i weryfikacja działają w przeglądarce dzięki JavaScriptowi i WebCrypto API. Token, sekret i każdy wpisany klucz nigdy nie opuszczają strony i nie są zapisywane, więc token produkcyjny pozostaje prywatny. Mimo to długotrwały token wklejony gdziekolwiek warto potraktować jako do wymiany.
JWT jest podpisany, a nie zaszyfrowany. Nagłówek i payload to zwykły JSON zakodowany w Base64URL, więc każdy, kto ma token, może je odczytać. Sekret lub klucz jest potrzebny tylko do sprawdzenia podpisu, który dowodzi, że token wydał posiadacz tego klucza i że nie został zmieniony.
Należy wkleić token, wybrać algorytm z nagłówka (zwykle HS256 lub RS256), wpisać wspólny sekret dla algorytmów HS albo klucz publiczny PEM lub JWK dla RS256 i ES256, a potem kliknąć Weryfikuj lub nacisnąć Ctrl+Enter. Zielona plakietka oznacza zgodny podpis; czerwona, że klucz jest błędny lub token został zmieniony.
Należy spojrzeć na plakietkę obok Objaśnienia claimów. Pokazuje Ważny do i datę, gdy claim exp jest w przyszłości, w przeciwnym razie Wygasł i to, jak dawno temu, a Nieważny do, gdy claim nbf jeszcze nie nadszedł. Claimy exp, iat i nbf są też pokazywane jako prawdziwe daty z czasem względnym.
Tak. Na karcie Koduj i podpisz można edytować JSON nagłówka i payloadu, wybrać HS256, HS384, HS512, RS256 lub ES256, ustawić gotową ważność, np. 1 godzina lub 30 dni, i podpisać sekretem albo kluczem prywatnym. Generuj testową parę kluczy tworzy w przeglądarce parę kluczy PEM dla RS256 lub ES256.
HS256, HS384 i HS512 ze wspólnym sekretem oraz RS256 i ES256 z parą kluczy. Tokeny z innymi algorytmami nadal się dekodują i pokazują swoje claimy; tylko weryfikacja podpisu jest ograniczona do tych pięciu.
Nadal coś nie działa? Zapytaj o narzędzie Dekoder, weryfikator i koder JWT a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.