Làm cách nào để giải mã JWT mà không cần thư viện?

Dán token vào JWT Token. Nó phải có ba phân đoạn được phân tách bằng dấu chấm, và các phần Header, Payload và Signature sẽ xuất hiện. Tải ví dụ sẽ điền một token mẫu.

Giải mã JWT có nghĩa là nó hợp lệ không?

Không. Giải mã chỉ đọc các claims và bất kỳ ai cũng có thể tạo một token với bất kỳ claims nào. Công cụ cảnh báo rằng các claims vẫn không đáng tin cậy cho đến khi chữ ký, issuer, audience và thuật toán được xác minh.

Làm cách nào để kiểm tra xem token của tôi đã hết hạn chưa?

Các claims exp, nbf và iat của payload được hiển thị với trạng thái như Đã hết hạn hoặc Chưa hết hạn, và nó làm mới khi tab đang mở. Trường Độ lệch đồng hồ (giây) điều chỉnh việc kiểm tra.

Tôi có thể xác minh chữ ký ở đây không?

Có. Dán bí mật HMAC, khóa công khai PEM hoặc JSON JWK / JWKS vào Xác minh chữ ký, sau đó nhấp vào Xác minh. Các thuật toán HS, RS và ES với 256, 384 hoặc 512 bit được hỗ trợ.

Tại sao nó báo token không hợp lệ?

JWT cần chính xác ba phân đoạn được phân tách bằng dấu chấm, và header và payload phải là JSON được mã hóa Base64URL. Nếu một trong hai thất bại, công cụ sẽ báo cáo phần nào bị sai. Khoảng trắng thừa hoặc bản sao bị cắt cụt là những nguyên nhân phổ biến.

Có thật sự miễn phí không?

Có. Mọi công cụ đều miễn phí sử dụng, không cần tài khoản hay thẻ tín dụng. Công việc được thực hiện trên thiết bị của bạn thay vì máy chủ của chúng tôi, đó là điều giúp công cụ luôn miễn phí.

Có hoạt động trên di động không?

Có. Công cụ chạy trên các trình duyệt di động hiện nay của iOS và Android, không cần cài đặt gì.

🔑

Giải Mã JWT miễn phí

Giải mã và kiểm tra bất kỳ JSON Web Token nào. Xem header, payload, thời hạn và các claim chuẩn. Mọi thứ chạy cục bộ trên trình duyệt — token không bao giờ rời khỏi thiết bị.

Chạy trên trình duyệtKhông đăng ký, không pop-upKhông cần đăng nhậpMiễn phí mãi mãi

Hoạt động ngoại tuyến sau khi tải

JWT Token

🔒 Token được giải mã hoàn toàn trong trình duyệt. Không có gì được gửi đến máy chủ.

Công dụng phổ biến

Gỡ Lỗi Vấn Đề Xác Thực bằng Bộ Giải Mã JWTKiểm tra JWT từ ứng dụng của bạn để gỡ lỗi lỗi đăng nhập, các vấn đề về quyền và các vấn đề hết hạn mã thông báo.
Kiểm Tra Mã Thông Báo API Khi Kiểm Tra Điểm CuốiGiải mã JWT được trả về bởi API của bạn để xác minh rằng các yêu cầu, phạm vi và quyền chính xác đang được cấp phát.
Kiểm Toán Bảo Mật Mã Thông Báo JWTXem xét JWT như một phần của kiểm toán bảo mật: kiểm tra các thuật toán ký yếu, thời gian sống mã thông báo quá dài hoặc dữ liệu nhạy cảm trong tải.
Kiểm Tra Mã Thông Báo OAuth và OpenID ConnectGiải mã các mã thông báo truy cập, mã thông báo ID và mã thông báo làm mới từ Google, Auth0, Okta, Microsoft và các nhà cung cấp OAuth khác.
Tìm Hiểu Cách Hoạt Động của Mã Thông Báo JWTGiải mã JWT mẫu để hiểu cấu trúc: tiêu đề, tải và chữ ký. Xem các ví dụ về yêu cầu thực tế.

Cách hoạt động

Bộ giải mã là trình phân tích tự viết, không phụ thuộc, chạy hoàn toàn trong trình duyệt: nó tách token theo dấu chấm, chuyển mỗi đoạn Base64URL thành Base64 thường bằng thay thế chuỗi và đệm đến bội số của bốn, rồi gọi atob() và JSON.parse gốc của trình duyệt để khôi phục đối tượng header và payload. Xác minh chữ ký tùy chọn dùng Web Crypto API (crypto.subtle.verify) — không thư viện, không máy chủ.

1
Giải mã Base64URL
Công cụ tách JWT theo hai dấu chấm phân cách, cho ra ba đoạn. Mỗi đoạn là Base64URL — dùng - và _ thay cho + và / và bỏ phần đệm. Mã đổi lại các ký tự đó và đệm bằng dấu =, rồi gọi atob() tích hợp của trình duyệt để giải mã byte.
2
Phân tích JSON và trích xuất claim
Các byte đã giải mã được đưa qua JSON.parse để tạo đối tượng header và payload. Các claim đã đăng ký exp, iat và nbf được trích xuất dạng Unix timestamp và chuyển thành đối tượng Date; trạng thái hết hạn được kiểm tra lại mỗi 20 giây qua setInterval nên token hết hạn khi thẻ đang mở sẽ tự động chuyển từ hợp lệ sang hết hạn. Mốc thời gian tương đối ('trong 3 ngày', '2 giờ trước') được định dạng bằng Intl.RelativeTimeFormat theo ngôn ngữ trình duyệt của bạn.
3
Hiển thị chữ ký và xác minh tùy chọn
Chuỗi chữ ký Base64URL thô được hiển thị cùng header và payload. Nếu bạn cung cấp khóa, công cụ gọi crypto.subtle.importKey và crypto.subtle.verify để kiểm tra chữ ký cục bộ. Nó chấp nhận khóa bí mật chung HMAC (HS256/384/512), khóa công khai RSA mã hóa PEM (RS256/384/512) và khóa công khai ECDSA hoặc đối tượng JWK/JWKS (ES256/384/512) — xác định theo trường alg trong header.
4
Không có yêu cầu mạng
Mọi bước — giải mã, tính toán mốc thời gian và xác minh mật mã — chạy trong bộ máy JavaScript của trình duyệt. Token và mọi dữ liệu khóa bạn nhập không bao giờ rời khỏi thiết bị.

JWT thường chứa thông tin đăng nhập phiên, danh tính người dùng và phạm vi ủy quyền; công cụ này giải mã và tùy chọn xác minh chúng hoàn toàn trong trình duyệt bằng atob() và Web Crypto API, nên cả token lẫn khóa bạn cung cấp đều không được truyền đi đâu cả.