Hopp til hovedinnhold
LibraTool logoLibraTool

Gratis JWT-dekoder

Dekod og inspiser et JSON Web Token. Vis hode, nyttelast, utløpstid og standardpåstander. Alt kjører lokalt i nettleseren — token forlater aldri enheten.

Fungerer uten nett når den er lastet

🔒 Tokenet dekodes utelukkende i nettleseren din. Ingenting sendes til noen server.

Vanlige bruksområder

  • Debug autentiseringsproblemer med JWT-dekoderInspiser JWT-er fra appen din for å debugge innloggingsfeil, tillatelsesproblemer og tokenproblem.
  • Inspiser API-tokens mens du tester endepunkterDekod JWT-er returnert av API-en din for å bekrefte at riktige krav, omfang og tillatelser blir utstedt.
  • Sikkerhetsrevisjon JWT-tokensGjennomgå JWT-er som del av sikkerhetskontroll — sjekk for svake signeringsalgoritmer, overdreven tokenlevetid eller sensitiv data i nyttelast.
  • Inspiser OAuth- og OpenID Connect-tokensDekod tilgangstokens, ID-tokens og oppdateringstokens fra Google, Auth0, Okta, Microsoft og andre OAuth-leverandører.
  • Lær hvordan JWT-tokens fungererDekod eksempel JWT-er for å forstå strukturen: header, nyttelast og signatur. Se eksempler fra virkeligheten.

Hvordan det fungerer

Dekoderen er en håndskrevet tolker uten avhengigheter som kjører helt i nettleseren: den deler tokenet på punktum, gjør hvert Base64URL-segment om til vanlig Base64 med strengerstatning og fyller ut til et multiplum av fire, og kaller deretter nettleserens innebygde atob() og JSON.parse for å hente ut header- og payload-objektene. Valgfri signaturkontroll bruker Web Crypto API (crypto.subtle.verify) — ingen bibliotek, ingen server.

  1. 1
    Base64URL-dekoding
    Verktøyet deler JWT-en ved de to punktumene, som gir tre segmenter. Hvert segment er Base64URL — som bruker - og _ i stedet for + og / og utelater utfylling. Koden bytter tegnene tilbake og fyller ut med =-tegn, og kaller deretter nettleserens innebygde atob() for å dekode bytene.
  2. 2
    JSON-tolking og uthenting av claims
    De dekodede bytene sendes gjennom JSON.parse for å lage header- og payload-objektene. De registrerte claimene exp, iat og nbf hentes ut som Unix-tidsstempler og gjøres om til Date-objekter; utløpsstatus sjekkes på nytt hvert 20. sekund via setInterval, så et token som utløper mens fanen er åpen, automatisk bytter fra gyldig til utløpt. Relative tidspunkter («om 3 dager», «for 2 timer siden») formateres med Intl.RelativeTimeFormat etter nettleserens språk.
  3. 3
    Signaturvisning og valgfri kontroll
    Den rå Base64URL-signaturen vises ved siden av header og payload. Oppgir du en nøkkel, kaller verktøyet crypto.subtle.importKey og crypto.subtle.verify for å sjekke signaturen lokalt. Det godtar HMAC-hemmeligheter (HS256/384/512), PEM-kodede offentlige RSA-nøkler (RS256/384/512) og offentlige ECDSA-nøkler eller JWK/JWKS-objekter (ES256/384/512) — bestemt av alg-feltet i headeren.
  4. 4
    Ingen nettverksforespørsler
    Hvert steg — dekoding, tidsberegning og kryptografisk kontroll — kjører i nettleserens JavaScript-motor. Tokenet og eventuelt nøkkelmateriale du skriver inn, forlater aldri enheten.

JWT-er inneholder ofte øktlegitimasjon, brukeridentitet og tilgangsomfang; dette verktøyet dekoder og kontrollerer dem eventuelt helt i nettleseren med atob() og Web Crypto API, så verken tokenet eller nøkler du oppgir, sendes noe sted.

Relaterte verktøy

🔗

URL-koder og dekoder

Kode og dekode URLer og spørringsstrenger. Støtter encodeURIComponent, decodeURIComponent og spørrestrengparsing.

Prøv det
🔎

UUID-inspektør

Dekode en hvilken som helst UUID eller ULID — se versjon, variant og opprettelsestidsstempel innebygd i v1, v6, v7 og ULID-er. Kjører helt i nettleseren.

Prøv det
🔢

Base64-koder og -dekoder

Kode tekst eller filer til Base64, eller dekod Base64-strenger tilbake til vanlig tekst. Øyeblikkelig, privat og gratis.

Prøv det

Ofte stilte spørsmål