จะถอดรหัส JWT โดยไม่ใช้ไลบรารีได้อย่างไร

วางโทเค็นลงใน โทเค็น JWT มันต้องมีสามส่วนที่คั่นด้วยจุด และส่วน Header, Payload และ Signature จะปรากฏขึ้น โหลดตัวอย่าง จะใส่โทเค็นตัวอย่างให้

การถอดรหัส JWT ได้หมายความว่ามันถูกต้องหรือไม่

ไม่ใช่ การถอดรหัสเพียงแค่อ่าน claims และใครๆ ก็สามารถสร้างโทเค็นด้วย claims ใดๆ ก็ได้ เครื่องมือจะเตือนว่า claims ยังไม่น่าเชื่อถือจนกว่าจะมีการตรวจสอบลายเซ็น, ผู้ออก, ผู้รับ และอัลกอริทึม

ฉันจะตรวจสอบได้อย่างไรว่าโทเค็นของฉันหมดอายุหรือยัง

claims exp, nbf และ iat ใน payload จะแสดงพร้อมสถานะ เช่น หมดอายุแล้ว หรือ ยังไม่หมดอายุ และจะรีเฟรชขณะที่แท็บเปิดอยู่ ฟิลด์ ความเบี่ยงเบนของนาฬิกา (วินาที) ใช้ปรับการตรวจสอบ

ฉันสามารถตรวจสอบลายเซ็นที่นี่ได้ไหม

ได้ วาง HMAC secret, PEM public key หรือ JWK / JWKS JSON ใต้ ตรวจสอบลายเซ็น จากนั้นคลิก ตรวจสอบ รองรับอัลกอริทึม HS, RS และ ES ที่มีขนาด 256, 384 หรือ 512 บิต

ทำไมถึงบอกว่าโทเค็นไม่ถูกต้อง

JWT ต้องมีสามส่วนที่คั่นด้วยจุดพอดี และ header กับ payload ต้องเป็น JSON ที่เข้ารหัส Base64URL หากส่วนใดส่วนหนึ่งล้มเหลว เครื่องมือจะรายงานว่าส่วนไหนผิด ช่องว่างเกินหรือสำเนาที่ถูกตัดทอนเป็นสาเหตุที่พบบ่อย

ฟรีจริงหรือ

ใช่ ทุกเครื่องมือใช้งานได้ฟรี ไม่ต้องมีบัญชีและไม่ต้องใช้บัตรเครดิต การทำงานเกิดขึ้นบนอุปกรณ์ของคุณแทนที่จะเป็นเซิร์ฟเวอร์ของเรา ซึ่งเป็นสิ่งที่ทำให้ใช้งานได้ฟรี

ใช้งานได้บนมือถือหรือไม่?

ได้ ใช้งานได้บนเบราว์เซอร์มือถือรุ่นปัจจุบันทั้ง iOS และ Android โดยไม่ต้องติดตั้งอะไร

🔑

ถอดรหัส JWT ฟรี

ถอดรหัสและตรวจสอบ JSON Web Token ดู header, payload, วันหมดอายุ และ claim มาตรฐาน ทุกอย่างทำงานในเบราว์เซอร์ — token ไม่เคยออกจากอุปกรณ์

ทำงานในเบราว์เซอร์ไม่ต้องสมัคร ไม่มีป๊อปอัปไม่ต้องเข้าสู่ระบบฟรีตลอดไป

ใช้งานได้แบบออฟไลน์เมื่อโหลดแล้ว

โทเค็น JWT

🔒 Token ถูกถอดรหัสทั้งหมดในเบราว์เซอร์ของคุณ ไม่มีข้อมูลถูกส่งไปยังเซิร์ฟเวอร์

การใช้งานทั่วไป

ปัญหาการรับรองความถูกต้องของ Debug ด้วย JWT Decoderตรวจสอบ JWT จากแอปของคุณเพื่อดีบัก ล็อกอินล้มเหลว ปัญหาการอนุญาต และปัญหาการหมดอายุโทเค็น
ตรวจสอบโทเค็น API ขณะทดสอบปลายทางถอดรหัส JWT ที่ส่งคืนโดย API ของคุณเพื่อตรวจสอบว่าการเรียกร้อง ขอบเขต และสิทธิ์ที่ถูกต้องกำลังออกให้
โทเค็น JWT ตรวจสอบความปลอดภัยตรวจสอบ JWT เป็นส่วนหนึ่งของการตรวจสอบความปลอดภัย: ตรวจสอบขั้นตอนวิธีการลงนามที่อ่อนแอ อายุโทเค็นที่ยาวนาน หรือข้อมูลที่ละเอียดอ่อนในโครงสร้าง
ตรวจสอบโทเค็น OAuth และ OpenID Connectถอดรหัสโทเค็นการเข้าถึง โทเค็น ID และโทเค็นรีเฟรชจาก Google Auth0 Okta Microsoft และผู้ให้บริการ OAuth อื่น ๆ
เรียนรู้วิธีการทำงานของโทเค็น JWTถอดรหัส JWT ตัวอย่างเพื่อทำความเข้าใจโครงสร้าง: ส่วนหัว เพลย์โหลด และลายเซนต์ ดูตัวอย่างการเรียกร้องจากโลกแห่งความจริง

วิธีการทำงาน

ตัวถอดรหัสเป็นตัวแยกวิเคราะห์ที่เขียนขึ้นเองโดยไม่พึ่งพาสิ่งใด ทำงานในเบราว์เซอร์ทั้งหมด: แบ่งโทเค็นตามจุด แปลงแต่ละส่วน Base64URL เป็น Base64 ธรรมดาด้วยการแทนที่สตริงและเติมให้เป็นผลคูณของสี่ แล้วเรียก atob() และ JSON.parse เนทีฟของเบราว์เซอร์เพื่อกู้ออบเจกต์ header และ payload การตรวจสอบลายเซ็นที่เลือกได้ใช้ Web Crypto API (crypto.subtle.verify) — ไม่มีไลบรารี ไม่มีเซิร์ฟเวอร์

1
ถอดรหัส Base64URL
เครื่องมือแบ่ง JWT ตามตัวคั่นจุดสองตัว ได้สามส่วน แต่ละส่วนเป็น Base64URL — ซึ่งใช้ - และ _ แทน + และ / และไม่มีการเติม โค้ดสลับอักขระเหล่านั้นกลับและเติมเครื่องหมาย = แล้วเรียก atob() ในตัวของเบราว์เซอร์เพื่อถอดรหัสไบต์
2
แยกวิเคราะห์ JSON และดึง claim
ไบต์ที่ถอดรหัสแล้วถูกส่งผ่าน JSON.parse เพื่อได้ออบเจกต์ header และ payload claim ที่ลงทะเบียน exp, iat และ nbf ถูกดึงเป็น Unix timestamp และแปลงเป็นออบเจกต์ Date สถานะหมดอายุถูกตรวจใหม่ทุก 20 วินาทีผ่าน setInterval โทเค็นที่หมดอายุขณะแท็บเปิดอยู่จึงเปลี่ยนจากใช้ได้เป็นหมดอายุโดยอัตโนมัติ เวลาแบบสัมพัทธ์ ('อีก 3 วัน', '2 ชั่วโมงที่แล้ว') จัดรูปแบบด้วย Intl.RelativeTimeFormat ตามภาษาของเบราว์เซอร์
3
แสดงลายเซ็นและตรวจสอบ (ไม่บังคับ)
สตริงลายเซ็น Base64URL ดิบแสดงคู่กับ header และ payload หากคุณระบุคีย์ เครื่องมือจะเรียก crypto.subtle.importKey และ crypto.subtle.verify เพื่อตรวจลายเซ็นในเครื่อง รองรับความลับร่วมแบบ HMAC (HS256/384/512) คีย์สาธารณะ RSA แบบ PEM (RS256/384/512) และคีย์สาธารณะ ECDSA หรือออบเจกต์ JWK/JWKS (ES256/384/512) — กำหนดโดยช่อง alg ใน header
4
ไม่มีการร้องขอเครือข่าย
ทุกขั้นตอน — การถอดรหัส การคำนวณเวลา และการตรวจสอบเชิงวิทยาการเข้ารหัส — ทำงานภายในเอนจิน JavaScript ของเบราว์เซอร์ โทเค็นและข้อมูลคีย์ที่คุณป้อนไม่เคยออกจากอุปกรณ์

JWT มักมีข้อมูลรับรองเซสชัน ตัวตนผู้ใช้ และขอบเขตสิทธิ์ เครื่องมือนี้ถอดรหัสและตรวจสอบ (หากเลือก) ในเบราว์เซอร์ทั้งหมดด้วย atob() และ Web Crypto API ทั้งโทเค็นและคีย์ที่คุณระบุจึงไม่ถูกส่งไปที่ใด