Как да декодирам JWT без библиотека?

Поставете токена в JWT токен. Той трябва да има три сегмента, разделени с точка, и секциите Заглавие, Полезен товар и Подпис се появяват. Зареди пример попълва примерен токен.

Означава ли декодирането на JWT, че е валиден?

Не. Декодирането само чете клеймовете и всеки може да изработи токен с произволни клеймове. Инструментът предупреждава, че клеймовете остават недоверени, докато подписът, издателят, аудиторията и алгоритъмът не бъдат проверени.

Как мога да проверя дали моят токен е изтекъл?

Клеймовете exp, nbf и iat на полезния товар се показват със статус като Изтекъл или Не е изтекъл и се опреснява, докато разделът е отворен. Полето Отместване на часовника (секунди) настройва проверката.

Мога ли да проверя подписа тук?

Да. Поставете HMAC тайна, PEM публичен ключ или JWK / JWKS JSON под Проверка на подписа, след което натиснете Проверка. Поддържат се HS, RS и ES алгоритми с 256, 384 или 512 бита.

Защо казва, че токенът е невалиден?

Един JWT се нуждае от точно три сегмента, разделени с точка, а заглавието и полезният товар трябва да бъдат Base64URL-кодиран JSON. Ако някое от тях не успее, инструментът докладва коя част е грешна. Допълнителните интервали или съкратените копия са чести причини.

Наистина ли е безплатно?

Да. Всеки инструмент е безплатен, без акаунт и кредитна карта. Работата се извършва на вашето устройство, а не на наши сървъри, което позволява да бъде безплатна.

Работи ли на мобилни устройства?

Да. Работи в съвременните мобилни браузъри на iOS и Android, без да инсталирате нищо.

🔑

JWT декодер — безплатно

Декодирайте и инспектирайте всеки JSON Web Token. Прегледайте заглавка, полезен товар, изтичане и стандартни претенции. Всичко работи локално в браузъра ви — токените никога не напускат устройството ви.

Работи в браузъраБез регистрация, без изскачащи прозорциНе се изисква входБезплатно завинаги

Работи офлайн след зареждане

JWT токен

🔒 Токенът се декодира изцяло в браузъра. Нищо не се изпраща до сървър.

Често срещани употреби

Отстранете грешки на проблеми с удостоверяването с JWT декодерПроверете JWT от приложението, за да отстраните грешки при влизане, проблеми с разрешенията и проблеми с истечане на маркера.
Проверете токени на API при тестване на крайни точкиДекодирайте JWT, върнати от вашия API, за да проверите дали правилни претензии, обхвати и разрешения се издават.
JWT токени - одит на безопасностПреглед на JWT като част от одита на безопасност — проверете слаби алгоритми за подписване, прекомерно дълъг живот на маркера или чувствителни данни в полезния товар.
Проверете OAuth и OpenID Connect токениДекодирайте маркери за достъп, ID маркери и маркери за обновяване от Google, Auth0, Okta, Microsoft и други OAuth доставчици.
Научете как функционират JWT маркериДекодирайте примери на JWT, за да разберете структурата: заглавие, полезен товар и подпис. Вижте примери на претензии от реалния свят.

Как работи

Декодерът е ръчно написан анализатор без зависимости, който работи изцяло във вашия браузър: разделя токена по точки, преобразува всеки сегмент Base64URL в обикновен Base64 чрез замяна на низове и го допълва до кратно на четири, след което извиква нативния atob() и JSON.parse на браузъра, за да възстанови обектите на заглавието и товара. Незадължителната проверка на подписа използва Web Crypto API (crypto.subtle.verify) — без библиотека, без сървър.

1
Декодиране на Base64URL
Инструментът разделя JWT по двата разделителя-точка, давайки три сегмента. Всеки сегмент е Base64URL — който използва - и _ вместо + и / и пропуска допълването. Кодът разменя тези символи обратно и допълва със знаци =, след което извиква вградения atob() на браузъра, за да декодира байтовете.
2
Анализ на JSON и извличане на претенции
Декодираните байтове се подават през JSON.parse, за да се произведат обектите на заглавието и товара. Регистрираните претенции exp, iat и nbf се извличат като времеви маркери Unix и се преобразуват в обекти Date; статусът на изтичане се проверява отново на всеки 20 секунди чрез setInterval, така че токен, който изтича, докато разделът е отворен, автоматично се превключва от валиден в изтекъл. Относителни времеви маркери ('след 3 дни', 'преди 2 часа') се форматират с Intl.RelativeTimeFormat, използвайки локала на браузъра ви.
3
Показване на подписа и незадължителна проверка
Суровият низ на подписа в Base64URL се показва заедно със заглавието и товара. Ако предоставите ключ, инструментът извиква crypto.subtle.importKey и crypto.subtle.verify, за да провери подписа локално. Приема споделени HMAC тайни (HS256/384/512), публични RSA ключове, кодирани в PEM (RS256/384/512), и публични ECDSA ключове или обекти JWK/JWKS (ES256/384/512) — определени от полето alg в заглавието.
4
Без мрежови заявки
Всяка стъпка — декодиране, аритметика на времеви маркери и криптографска проверка — се извършва вътре в JavaScript двигателя на браузъра. Токенът и всеки ключов материал, който въведете, никога не напускат устройството ви.

JWT токените често носят идентификационни данни за сесия, самоличност на потребителя и обхвати на упълномощаване; този инструмент ги декодира и по избор проверява изцяло във вашия браузър чрез atob() и Web Crypto API, така че нито токенът, нито предоставен от вас ключ се предават никъде.