Dekoder JWT do szybkiego podglądu claimów
Aplikacja mobilna dostaje 401, a backend twierdzi, że token jest w porządku. Dekoder JWT pozwala to sprawdzić od ręki. Dzieli ciąg na kropkach, zamienia dwie pierwsze części z Base64URL z powrotem w tekst i pokazuje je jako JSON z wcięciami. Widzisz algorytm, ID użytkownika, role i daty.
Przydaje się też przy nowym dostawcy tożsamości: sprawdzasz, czy tablica roles zawiera to, czego oczekujesz. Albo gdy chcesz zobaczyć sam termin exp jako zwykłą datę, bez przeliczania sekund w głowie.
Co naprawdę znaczy zielony status
Narzędzie nie sprawdza podpisu. Nie ma pola na klucz, a kod nigdy nie czyta trzeciej części. Zielony status oznacza tylko, że claim exp leży w przyszłości według zegara twojego urządzenia. Sfałszowany token z dobrym exp wyglądałby tak samo. Do weryfikacji podpisu potrzebny jest sekret lub klucz publiczny oraz biblioteka JWT na serwerze.
Pięć kroków od tekstu do JSON
- Wklej token w polu „Zakodowany token JWT”. Na starcie jest tam przykład. „Wczytaj przykład” go przywraca, a „Wyczyść” opróżnia pole.
- Po lewej znajdziesz header, zwykle z
algityp. - Po prawej znajdziesz payload z claimami, takimi jak
sub,iatiexp. - Pasek statusu nad polami mówi, czy token wygasł, i podaje datę w formacie twojego języka.
- Przycisk kopiowania przy polu wstawia sformatowany JSON do schowka.
Claimy bez testu
Sprawdzany jest tylko exp. Claimy nbf i iat pojawiają się jako surowe liczby, czyli sekundy od 1970 roku. Bez exp narzędzie pokazuje „Brak daty końca (podpis niesprawdzony)”.
Wklejki, które kończą się błędem
Prefiks Bearer na początku nie jest usuwany i powoduje błąd dekodowania Base64. Zaszyfrowane tokeny (JWE, pięć części) też zawodzą, bo ich payload nie jest JSON-em. Header i payload muszą być poprawnym JSON-em. Dwie części wystarczą.
Token zostaje w przeglądarce
Dekodowanie działa w JavaScripcie na twoim urządzeniu. Wpisywanie i wklejanie nie wysyła żadnych żądań, a token nie jest zapisywany. Schowek jest używany tylko po naciśnięciu przycisku kopiowania.