Декодер JWT

JWT описан в RFC 7519 (май 2015 года), где предлагается произносить его как английское слово «jot». Обычная подписанная форма — это три строки Base64url, соединённые точками: header.payload.signature. Заголовок (header) указывает в поле alg алгоритм подписи, например HS256 или RS256, и часто идентификатор ключа в kid. Полезная нагрузка (payload) содержит claims — JSON-поля, такие как sub (пользователь), iss (издатель), aud (предполагаемая аудитория), а также exp, nbf и iat — время в секундах с 1 января 1970 года UTC. Декодер переводит эти три значения в ваше местное время и в формат ISO 8601 и сообщает, истёк ли токен, ещё не действует или находится в пределах срока действия.

Base64url — это кодирование, а не шифрование, поэтому любой, у кого есть токен, может прочитать его payload так же, как это делает эта страница. Никогда не помещайте в claims пароли, номера карт и другие секреты. Токен из пяти частей, разделённых точками, — это JWE, зашифрованный токен: без ключа его содержимое прочитать нельзя, и декодер сообщает об этом. Префикс «Bearer », скопированный из заголовка Authorization, удаляется автоматически.

Подпись доказывает, что заголовок и payload созданы тем, у кого есть ключ, и с тех пор не менялись. Для проверки нужен этот ключ: общий секрет для HMAC-алгоритмов вроде HS256 или открытый ключ издателя для RS256, ES256 или EdDSA. Вставлять рабочий секрет подписи на любую веб-страницу — плохая идея, а декодер, который без ключа делал бы вид, что ручается за токен, создавал бы ложное чувство надёжности, поэтому этот инструмент показывает подпись, но не проверяет её. Относитесь к увиденному как к утверждению самого токена, а не как к факту.

Проверка должна выполняться на вашем сервере с помощью поддерживаемой библиотеки с жёстко заданным ожидаемым алгоритмом. Это объясняют две известные ошибки: приём alg «none», позволяющий любому подделать неподписанный токен, и подмена алгоритма, когда сервер, ожидающий RS256, обманом заставляют проверить подпись HS256, используя открытый ключ как секрет HMAC. Декодер нужен для отладки: посмотреть, какие claims выдаёт провайдер, заметить неверную аудиторию или выяснить, что сессия оборвалась, потому что exp истёк минуту назад. Чтобы прочитать сегменты Base64url как есть, воспользуйтесь декодером Base64.