ถอดรหัส JWT (JWT Decoder)

JWT กำหนดไว้ใน RFC 7519 (พฤษภาคม 2015) ซึ่งแนะนำให้ออกเสียงเหมือนคำภาษาอังกฤษว่า "jot" รูปแบบที่ลงลายเซ็นซึ่งพบได้ทั่วไปคือสตริง Base64url สามส่วนที่เชื่อมกันด้วยจุด ได้แก่ header.payload.signature โดย header ระบุอัลกอริทึมที่ใช้ลงลายเซ็นไว้ใน alg เช่น HS256 หรือ RS256 และมักมี ID ของคีย์ใน kid ส่วน payload เก็บ claim ซึ่งเป็นฟิลด์ JSON เช่น sub (ผู้ใช้) iss (ผู้ออกโทเค็น) aud (กลุ่มเป้าหมายที่ตั้งใจไว้) รวมถึง exp, nbf และ iat ซึ่งเป็นเวลาเป็นวินาทีนับจาก 1 มกราคม 1970 UTC ตัวถอดรหัสจะแปลงเวลาทั้งสามนี้เป็นเวลาท้องถิ่นของคุณและรูปแบบ ISO 8601 พร้อมบอกว่าโทเค็นหมดอายุแล้ว ยังไม่ถึงเวลาที่ใช้งานได้ หรืออยู่ในช่วงที่ใช้งานได้

Base64url เป็นการเข้ารหัสแบบหนึ่ง ไม่ใช่การเข้ารหัสลับ ใครที่มีโทเค็นก็อ่าน payload ได้เหมือนที่หน้านี้แสดง จึงไม่ควรใส่รหัสผ่าน เลขบัตร หรือข้อมูลลับอื่น ๆ ไว้ใน claim โทเค็นที่มีห้าส่วนคั่นด้วยจุดคือ JWE หรือโทเค็นที่เข้ารหัสลับ ต้องมีคีย์จึงจะอ่านเนื้อหาได้ และตัวถอดรหัสจะแจ้งให้ทราบ หากคัดลอก "Bearer " นำหน้ามาจากเฮดเดอร์ Authorization ระบบจะลบออกให้อัตโนมัติ

ลายเซ็นพิสูจน์ว่า header และ payload ถูกสร้างโดยผู้ที่ถือคีย์ และไม่ถูกแก้ไขตั้งแต่นั้น การตรวจสอบต้องใช้คีย์ดังกล่าว คือ secret ที่ใช้ร่วมกันสำหรับอัลกอริทึม HMAC เช่น HS256 หรือคีย์สาธารณะของผู้ออกโทเค็นสำหรับ RS256, ES256 หรือ EdDSA การวาง secret สำหรับลงลายเซ็นของระบบจริงลงในหน้าเว็บใด ๆ ไม่ใช่ความคิดที่ดี และตัวถอดรหัสที่อ้างว่ารับรองโทเค็นโดยไม่มีคีย์จะทำให้เข้าใจผิดว่าปลอดภัย เครื่องมือนี้จึงแสดงลายเซ็นแต่ไม่ตรวจสอบ ให้มองสิ่งที่เห็นเป็นเพียงสิ่งที่โทเค็นอ้าง ไม่ใช่ข้อเท็จจริง

การตรวจสอบควรทำบนเซิร์ฟเวอร์ของคุณ โดยใช้ไลบรารีที่ยังมีการดูแลและกำหนดอัลกอริทึมที่คาดหวังไว้ตายตัว ข้อผิดพลาดในอดีตสองอย่างอธิบายเหตุผลได้ คือการยอมรับ alg "none" ซึ่งทำให้ใครก็ปลอมโทเค็นที่ไม่มีลายเซ็นได้ และ algorithm confusion ซึ่งเซิร์ฟเวอร์ที่คาดหวัง RS256 ถูกหลอกให้ตรวจลายเซ็น HS256 โดยใช้คีย์สาธารณะเป็น secret ของ HMAC ตัวถอดรหัสเหมาะสำหรับการดีบัก เช่น ดูว่าผู้ให้บริการออก claim อะไรบ้าง สังเกตว่า audience ผิด หรือพบว่าเซสชันล้มเหลวเพราะ exp หมดไปเมื่อหนึ่งนาทีก่อน หากต้องการอ่านส่วน Base64url แบบดิบ ให้ใช้ตัวถอดรหัส Base64