Kas ir JWT un ko parāda dekodēšana?
JSON Web Token ir trīs ar punktiem atdalītas base64url daļas: header.payload.signature. Header nosauc parakstīšanas algoritmu, payload satur claims, piemēram, sub, exp un iat, un paraksts pierāda, ka pirmās divas daļas nav mainītas. Dekodēšana ir vienkārši pirmo divu daļu base64url dekodēšana — to var izdarīt jebkurš, un tam nekad nav vajadzīga atslēga.
Tokens, kas sākas ar eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9, dekodējas par header {"alg":"HS256","typ":"JWT"}. Tā payload, piemēram, {"sub":"42","exp":1735689600}, parāda lietotāju 42 ar derīgumu līdz 2025. gada 1. janvārim. Trešā daļa ir paraksts: te parādīts, bet ne pārbaudīts. Bez HMAC noslēpuma vai RSA/ECDSA publiskās atslēgas šis pārlūkā strādājošais rīks nevar pierādīt paraksta īstumu, tāpēc nekad neuzskatiet dekodētu tokenu par uzticamu.
Kā dekodēt JWT
- Ielīmējiet pilnu tokenu laukā JWT.
- Lasiet dekodēto Header un Payload kā JSON.
- Pārbaudiet exp un iat vērtības, kas tiek rādītas kā saprotami datumi un atzīmētas kā beigušās.
- Nokopējiet jebkuru daļu vai notīriet lauku, lai mēģinātu citu tokenu.
Biežāk uzdotie jautājumi par JWT dekodēšanu
Vai rīks pārbauda parakstu?
Nē. Tas tikai dekodē un parāda header, payload un parakstu. Pārbaudei nepieciešams noslēpums vai publiskā atslēga, ko šis pārlūka dekodētājs apzināti nekad nesaņem.
Vai ir droši šeit ielīmēt tokenu?
Dekodēšana notiek pilnībā jūsu pārlūkā un nekas netiek augšupielādēts. Tomēr neielīmējiet produkcijas tokenus nevienā tiešsaistes rīkā — īsts tokens ir derīgs piekļuves līdzeklis.
Ko nozīmē exp un iat?
Abi ir Unix laika zīmogi sekundēs: iat — kad tokens izsniegts, exp — kad beidzas. Rīks pārvērš tos datumos un atzīmē beigušos tokenu.
