JWT dekodér
Vložte JSON Web Token a přečtěte jeho hlavičku a payload, zjistěte, kdy vyprší, a pochopte každý claim. Token nikdy neopustí váš prohlížeč.
Běží v prohlížečiBez registraceNic se neodesílá
Dekódování není ověření. Hlavičku a payload JWT si může přečíst kdokoli, protože jsou pouze zakódované v base64url. Tento nástroj ukazuje, co token tvrdí; nedokazuje, že je token pravý. Podpis vždy ověřujte na svém serveru.
Hlavička
Payload
Vysvětlení claimů
Ověřit podpis (volitelné, HS256/HS384/HS512)
Ověří podpis HMAC pomocí zadaného tajemství přes Web Crypto API vašeho prohlížeče. Tajemství nikdy neopustí tuto stránku. Tokeny RSA/ECDSA vyžadují veřejný klíč vydavatele a zde se neověřují.
Jak používat: JWT dekodér
- Vložte token do pole Zakódovaný token. Úvodní
Bearerz hlavičky Authorization se ignoruje. - Hlavička a payload se okamžitě dekódují a zobrazí jako formátovaný JSON.
- Projděte tabulku Vysvětlení claimů:
exp,iatanbfse převedou na data s údajem „vyprší za“ / „vypršel před“. - Ve stavovém řádku zkontrolujte problémy s platností a ve varováních rizikové nastavení jako
alg: none. - Volitelně zadejte sdílené tajemství a lokálně ověřte podpis HS256, HS384 nebo HS512.
Co je uvnitř JWT?
JSON Web Token (RFC 7519) tvoří tři řetězce base64url spojené tečkami: header.payload.signature. Hlavička určuje podpisový algoritmus (alg) a typ tokenu. Payload obsahuje claimy, například kdo je uživatel a kdy token vyprší. Podpis se počítá z prvních dvou částí pomocí tajemství nebo soukromého klíče.
Dekódování není ověření
Hlavička a payload jsou jen zakódované, ne zašifrované, takže je může přečíst každý, kdo má token. Proto do payloadu JWT nikdy nedávejte hesla ani tajemství. Dekódování vám řekne, co token tvrdí. Ověření podpisu, obvykle na API serveru pomocí knihovny jako jose nebo PyJWT, dokazuje, kdo ho vydal a že nebyl změněn. Server musí také zkontrolovat exp, nbf, iss a aud a odmítat neočekávané algoritmy.
Tahák registrovaných claimů
| Claim | Význam |
|---|---|
iss | Vydavatel: kdo token vytvořil a podepsal |
sub | Subjekt: obvykle ID uživatele |
aud | Příjemce: pro které API je token určen |
exp | Čas vypršení v sekundách od Unix epochy |
nbf | Neplatný před tímto časem |
iat | Čas vydání |
jti | Jedinečné ID tokenu, užitečné pro seznamy zneplatněných tokenů |
Ladění chyb „token expired“
Pokud API odmítne token, který vypadá čerstvě, porovnejte exp a nbf s hodinami serveru. Malý rozdíl hodin mezi stroji je běžný, proto většina knihoven toleruje 30–60 sekund. Zkontrolujte také, že je exp v sekundách: hodnota v milisekundách je častá chyba a posune vypršení o tisíce let do budoucnosti.
Časté dotazy
Je bezpečné vložit sem produkční JWT?
Ověřuje tento nástroj podpis JWT?
Proč se můj token zobrazuje jako vypršelý?
exp je v minulosti oproti hodinám vašeho počítače. Vyžádejte si nový token nebo ho obnovte pomocí refresh tokenu. Pokud časy nesedí, zkontrolujte rozdíl hodin nebo hodnotu exp zapsanou v milisekundách.Jaký je rozdíl mezi JWT, JWS a JWE?
Proč je alg „none“ nebezpečný?
alg: none odmítat a přijímat pouze konkrétní algoritmus, který očekávají.