JWT-avkodare

JWT definieras i RFC 7519 (maj 2015), som föreslår att det uttalas som det engelska ordet "jot". Den vanliga signerade formen består av tre Base64url-strängar som sätts ihop med punkter: header.payload.signature. Headern anger signeringsalgoritmen i alg, till exempel HS256 eller RS256, och ofta ett nyckel-ID i kid. Payloaden innehåller claims, alltså JSON-fält som sub (användaren), iss (utfärdaren), aud (den avsedda mottagaren) samt exp, nbf och iat, som är tidpunkter i sekunder sedan 1 januari 1970 UTC. Avkodaren omvandlar dessa tre till din lokala tid och till ISO 8601, och visar om token har gått ut, ännu inte är giltig eller befinner sig inom sitt giltighetsfönster.

Base64url är en kodning, inte kryptering, så alla som har en token kan läsa dess payload på exakt samma sätt som den här sidan gör. Lägg aldrig lösenord, kortnummer eller andra hemligheter i claims. En token med fem delar åtskilda av punkter är en JWE, alltså en krypterad token. Innehållet går inte att läsa utan nyckeln, och avkodaren talar om det. Ett inledande "Bearer " som kopierats från en Authorization-header tas bort automatiskt.

Signaturen visar att headern och payloaden har skapats av någon som har nyckeln och att de inte har ändrats sedan dess. För att kontrollera den behövs nyckeln: den delade hemligheten för HMAC-algoritmer som HS256, eller utfärdarens publika nyckel för RS256, ES256 eller EdDSA. Att klistra in en hemlig signeringsnyckel från produktion på en webbsida är en dålig idé, och en avkodare som låtsas gå i god för en token utan nyckel skulle ge falsk trygghet. Därför visar det här verktyget signaturen men verifierar den inte. Se det du ser som ett påstående som token gör, inte som ett faktum.

Verifiering hör hemma på din server, med ett underhållet bibliotek där den förväntade algoritmen är låst. Två historiska misstag förklarar varför: att acceptera alg "none", vilket låter vem som helst förfalska en osignerad token, och algoritmförväxling, där en server som förväntar sig RS256 luras att kontrollera en HS256-signatur med den publika nyckeln som HMAC-hemlighet. En avkodare är till för felsökning: att se vilka claims en leverantör utfärdar, upptäcka fel audience eller förstå att en session misslyckades för att exp passerade för en minut sedan. Om du vill läsa Base64url-segmenten i råformat kan du använda Base64-avkodaren.