Dekoder JWT

Natychmiast dekoduj i sprawdzaj tokeny JSON Web Token

Dekoder JWT to darmowe narzędzie online do dekodowania, analizowania i sprawdzania tokenów JSON Web Token (JWT). Natychmiast wyświetlaj nagłówek tokena, ładunek, podpis i roszczenia. Debuguj tokeny uwierzytelniające i autoryzujące używane w OAuth 2.0, OpenID Connect i nowoczesnych aplikacjach internetowych. Działa całkowicie w Twojej przeglądarce z pełną prywatnością - tokeny nigdy nie są wysyłane na nasze serwery.

Jak używać dekodera JWT

Dekodowanie tokenów JWT jest proste i natychmiastowe:

Krok 1: Wklej swój token JWT
Wklej pełny token JWT w pole wejściowe. Tokeny JWT zazwyczaj zaczynają się od 'eyJ' i zawierają trzy części oddzielone kropkami (nagłówek.ładunek.podpis).
Krok 2: Automatyczne dekodowanie
Token jest automatycznie dekodowany i analizowany w czasie rzeczywistym. Nie musisz klikać żadnego przycisku - wyniki pojawiają się natychmiast po wklejeniu.
Krok 3: Sprawdź części tokena
Wyświetl zdekodowany nagłówek (algorytm, typ), ładunek (roszczenia, wygaśnięcie, wystawienie) i podpis. Każda część jest wyświetlana w sformatowanym JSON dla łatwego odczytu i debugowania.

Całe dekodowanie i analizowanie JWT odbywa się lokalnie w Twojej przeglądarce przy użyciu JavaScript. Twoje tokeny nigdy nie opuszczają Twojego urządzenia i nigdy nie są wysyłane na nasze serwery, zapewniając pełną prywatność i bezpieczeństwo.

form.title

Wprowadzanie tokena JWT

Przypadki użycia

usecases.intro

Debugowanie uwierzytelniania API

Gdy żądania API kończą się niepowodzeniem z powodu błędów uwierzytelniania, zdekoduj JWT, aby sprawdzić czas wygaśnięcia, wystawcę i roszczenia odbiorcy w celu zidentyfikowania głównej przyczyny.

Audyt bezpieczeństwa

Sprawdź JWT używane w Twojej aplikacji, aby upewnić się, że wrażliwe dane nie są ujawniane w payload i że stosowane są odpowiednie algorytmy.

Rozwój i testowanie

Podczas rozwoju szybko sprawdź, czy wygenerowane tokeny zawierają prawidłowe roszczenia, role i uprawnienia przed testami integracyjnymi.

Analiza wygasania tokenów

Sprawdź roszczenia 'exp' i 'iat', aby zrozumieć okresy ważności tokena i rozwiązać problemy z limitem czasu sesji w Twojej aplikacji.

Nauka struktury JWT

Studenci i programiści nowi w JWT mogą wizualizować trzyczęściową strukturę (nagłówek, payload, podpis), aby lepiej zrozumieć, jak działa uwierzytelnianie oparte na tokenach.

Co to jest JWT (JSON Web Token)?

JWT (JSON Web Token) to otwarty standard (RFC 7519) do bezpiecznego przesyłania informacji między stronami jako obiekt JSON. Jest kompaktowy, bezpieczny dla URL i szeroko stosowany do uwierzytelniania i wymiany informacji w nowoczesnych aplikacjach internetowych.

Trzyczęściowa struktura

JWT składa się z trzech części oddzielonych kropkami: Nagłówek (algorytm i typ tokena), Payload (roszczenia i dane) oraz Podpis (hash weryfikacyjny). Każda część jest zakodowana w Base64URL dla bezpiecznej transmisji.

Typowe przypadki użycia

JWT są używane głównie do uwierzytelniania (sesje logowania), autoryzacji (kontrola dostępu) i bezpiecznej wymiany informacji między usługami. Są bezstanowe, co eliminuje potrzebę przechowywania sesji po stronie serwera.

Kwestie bezpieczeństwa

Chociaż JWT są podpisane, aby zapobiec manipulacji, payload jest tylko zakodowany, nie zaszyfrowany. Nigdy nie przechowuj wrażliwych danych, takich jak hasła, w JWT. Zawsze weryfikuj podpisy po stronie serwera i używaj HTTPS do transmisji.

Często zadawane pytania (FAQ)

Jaka jest różnica między dekodowaniem a weryfikacją JWT?

Dekodowanie oznacza wyodrębnienie i odczytanie nagłówka i ładunku z tokena przy użyciu dekodowania Base64Url - każdy może to zrobić. Weryfikacja oznacza sprawdzenie podpisu, aby upewnić się, że token nie został sfałszowany - wymaga to klucza tajnego lub klucza publicznego. Nasze narzędzie tylko dekoduje tokeny; weryfikacja podpisu musi być wykonana na Twoim bezpiecznym serwerze.

Czy bezpieczne jest wklejanie mojego tokena JWT tutaj?

Nasze narzędzie przetwarza tokeny całkowicie w Twojej przeglądarce - nic nie jest wysyłane na serwery. Jednak nadal powinieneś być ostrożny z tokenami produkcyjnymi. Dla maksymalnego bezpieczeństwa używaj tylko tokenów testowych/deweloperskich lub używaj tego narzędzia offline, zapisując stronę internetową lokalnie.

Dlaczego mój JWT zaczyna się od 'eyJ'?

Wszystkie JWT zaczynają się od 'eyJ', ponieważ nagłówek JSON (zazwyczaj {"alg":"HS256","typ":"JWT"}) zaczyna się od '{"', co zakodowane w Base64Url staje się 'eyJ'. To niezawodny wskaźnik, że ciąg jest tokenem JWT.

Czy to narzędzie może weryfikować podpisy JWT?

Nie, weryfikacja podpisu wymaga klucza tajnego (algorytmy HMAC) lub klucza publicznego (algorytmy RSA/ECDSA). Wprowadzanie tych kluczy do narzędzia online byłoby poważnym ryzykiem bezpieczeństwa. Zawsze weryfikuj podpisy na własnych bezpiecznych serwerach przy użyciu zaufanych bibliotek.

Co oznacza 'exp' w ładunku?

Roszczenie 'exp' (wygaśnięcie) to znacznik czasu Unix wskazujący, kiedy token wygasa. Tokeny powinny być odrzucane po tym czasie. Na przykład 'exp': 1735689600 oznacza, że token wygasa 1 stycznia 2025 o 00:00:00 UTC.

Mój token ma trzy kropki zamiast dwóch. Czy jest ważny?

Standardowe JWT mają dokładnie dwie kropki oddzielające trzy części (nagłówek.ładunek.podpis). Dodatkowe kropki wskazują, że token może być zniekształcony, podwójnie zakodowany lub nie być standardowym JWT. Sprawdź kod generowania tokena.

Czy mogę używać tego narzędzia dla tokenów OAuth 2.0?

Tak! Tokeny dostępu OAuth 2.0 i tokeny ID (z OpenID Connect) są często JWT. Możesz je dekodować, aby zobaczyć informacje o użytkowniku, zakresy, czasy wygaśnięcia i inne roszczenia. Jednak niektórzy dostawcy OAuth używają nieprzezroczystych tokenów (losowych ciągów), których nie można zdekodować.

Co to jest algorytm 'none' i dlaczego jest niebezpieczny?

Algorytm 'none' oznacza, że token nie ma podpisu. Jeśli serwer akceptuje tokeny z 'alg': 'none', atakujący mogą podrobić tokeny, tworząc nagłówek/ładunek z dowolnymi roszczeniami i bez podpisu. Bezpieczne systemy zawsze powinny odrzucać tokeny z algorytmem 'none'.