Dekoder JWT

Samo dekodowanie nie weryfikuje autentyczności, ponieważ nagłówek i payload są tylko zakodowane w base64url, nie zaszyfrowane, i każdy może je odczytać bez klucza. Aby sprawdzić, czy token został naprawdę podpisany przez oczekiwaną stronę, użyj opcjonalnego pola weryfikacji podpisu poniżej, które wspiera tylko algorytm HS256.

HS256 używa jednego współdzielonego tajnego klucza do podpisywania i weryfikacji, więc to narzędzie może sprawdzić podpis, używając tylko podanego przez Ciebie klucza. RS256, ES256 i inne algorytmy asymetryczne podpisują kluczem prywatnym i weryfikują innym, publicznym kluczem, którego to narzędzie nie zbiera, więc bezpieczna weryfikacja ich wykracza poza jego zakres.

To standardowe oświadczenia czasowe JWT, wszystkie wyrażone jako czas Unix (sekundy od 1970 roku). exp to moment wygaśnięcia tokenu, iat to moment jego wydania, a nbf ("nie wcześniej niż") to najwcześniejszy moment, od którego token jest uważany za prawidłowy. To narzędzie automatycznie konwertuje każdy z nich na czytelną datę.

Oznacza to, że oświadczenie exp w payloadzie jest znacznikiem czasu wcześniejszym niż bieżący czas, więc serwer prawidłowo weryfikujący ten token odrzuciłby go. To narzędzie sprawdza tylko oświadczenie i zegar Twojego urządzenia, nie kontaktuje się z żadnym serwerem.

Token jest dekodowany całkowicie w Twojej przeglądarce i nigdy nie jest wysyłany nigdzie, więc wklejenie go tutaj jest tak bezpieczne, jak przeglądanie go w konsoli dewelopera własnej przeglądarki. Mimo to traktuj każdy token z wrażliwymi oświadczeniami tak, jak traktowałbyś hasło, i unikaj wklejania tokenów do narzędzi, którym nie ufasz.