Pendekod JWT

Mendekod sahaja tidak mengesahkan ketulenan, kerana pengepala dan muatan hanya dikodkan base64url, bukan disulitkan, dan sesiapa sahaja boleh membacanya tanpa kunci. Untuk menyemak sama ada token itu benar-benar ditandatangani oleh pihak yang dijangka, gunakan medan pengesahan tandatangan pilihan di bawah, yang hanya menyokong algoritma HS256.

HS256 menggunakan satu rahsia yang dikongsi untuk kedua-dua penandatanganan dan pengesahan, jadi alat ini boleh menyemak tandatangan menggunakan hanya rahsia yang anda berikan. RS256, ES256 dan algoritma asimetrik lain menandatangani dengan kunci persendirian dan mengesahkan dengan kunci awam yang berbeza, yang tidak dikumpul oleh alat ini, jadi mengesahkannya dengan selamat adalah luar skop di sini.

Ini adalah tuntutan cap masa JWT standard, semuanya dinyatakan sebagai masa Unix (saat sejak 1970). exp ialah masa token tamat tempoh, iat ialah masa ia dikeluarkan, dan nbf ("tidak sebelum") ialah masa paling awal token dianggap sah. Alat ini menukar setiap satu kepada tarikh yang mudah dibaca secara automatik.

Ia bermaksud tuntutan exp dalam muatan adalah cap masa yang lebih awal daripada masa semasa, jadi pelayan yang mengesahkan token ini dengan betul akan menolaknya. Alat ini hanya menyemak tuntutan dan jam peranti anda, ia tidak menghubungi mana-mana pelayan.

Token didekod sepenuhnya dalam pelayar anda dan tidak pernah dihantar ke mana-mana, jadi menampalnya di sini selamat seperti melihatnya dalam konsol pembangun pelayar anda sendiri. Walaupun begitu, layan sebarang token dengan tuntutan sensitif sama seperti anda melayan kata laluan, dan elakkan menampal token ke dalam alat yang anda tidak percayai.