Декодер JWT

Мгновенно декодируйте и проверяйте токены JSON Web Token

Декодер JWT — это бесплатный онлайн-инструмент для декодирования, анализа и проверки токенов JSON Web Token (JWT). Мгновенно просматривайте заголовок токена, полезную нагрузку, подпись и утверждения. Отлаживайте токены аутентификации и авторизации, используемые в OAuth 2.0, OpenID Connect и современных веб-приложениях. Работает полностью в вашем браузере с полной конфиденциальностью — токены никогда не отправляются на наши серверы.

Как использовать декодер JWT

Декодирование токенов JWT просто и мгновенно:

Шаг 1: Вставьте ваш токен JWT
Вставьте полный токен JWT в поле ввода. Токены JWT обычно начинаются с 'eyJ' и содержат три части, разделенные точками (заголовок.полезная_нагрузка.подпись).
Шаг 2: Автоматическое декодирование
Токен автоматически декодируется и анализируется в режиме реального времени. Не нужно нажимать никакие кнопки — результаты появляются мгновенно при вставке.
Шаг 3: Проверьте части токена
Просмотрите декодированный заголовок (алгоритм, тип), полезную нагрузку (утверждения, срок действия, время выдачи) и подпись. Каждая часть отображается в форматированном JSON для удобного чтения и отладки.

Все декодирование и анализ JWT происходит локально в вашем браузере с использованием JavaScript. Ваши токены никогда не покидают ваше устройство и никогда не отправляются на наши серверы, обеспечивая полную конфиденциальность и безопасность.

form.title

Ввод токена JWT

Случаи использования

usecases.intro

Отладка API-аутентификации

Когда запросы API не выполняются из-за ошибок аутентификации, декодируйте JWT для проверки времени истечения, издателя и утверждений аудитории для определения основной причины.

Аудит безопасности

Проверяйте JWT, используемые в вашем приложении, чтобы убедиться, что конфиденциальные данные не раскрываются в полезной нагрузке и используются соответствующие алгоритмы.

Разработка и тестирование

Во время разработки быстро проверяйте, что сгенерированные токены содержат правильные утверждения, роли и разрешения перед интеграционным тестированием.

Анализ истечения токена

Проверяйте утверждения 'exp' и 'iat' для понимания периодов действия токена и устранения проблем с тайм-аутом сессии в вашем приложении.

Изучение структуры JWT

Студенты и разработчики, новые в JWT, могут визуализировать трехчастную структуру (заголовок, полезная нагрузка, подпись), чтобы лучше понять, как работает аутентификация на основе токенов.

Что такое JWT (JSON Web Token)?

JWT (JSON Web Token) — это открытый стандарт (RFC 7519) для безопасной передачи информации между сторонами в виде объекта JSON. Он компактный, безопасный для URL и широко используется для аутентификации и обмена информацией в современных веб-приложениях.

Трехчастная структура

JWT состоит из трех частей, разделенных точками: Заголовок (алгоритм и тип токена), Полезная нагрузка (утверждения и данные) и Подпись (хеш для проверки). Каждая часть закодирована в Base64URL для безопасной передачи.

Типичные случаи использования

JWT используются преимущественно для аутентификации (сессии входа), авторизации (контроль доступа) и безопасного обмена информацией между сервисами. Они не сохраняют состояние, устраняя необходимость в серверном хранении сессий.

Соображения безопасности

Хотя JWT подписаны для предотвращения подделки, полезная нагрузка только закодирована, а не зашифрована. Никогда не храните конфиденциальные данные, такие как пароли, в JWT. Всегда проверяйте подписи на стороне сервера и используйте HTTPS для передачи.

Часто задаваемые вопросы (FAQ)

В чем разница между декодированием и проверкой JWT?

Декодирование означает извлечение и чтение заголовка и полезной нагрузки из токена с использованием декодирования Base64Url — любой может это сделать. Проверка означает проверку подписи, чтобы убедиться, что токен не был подделан — для этого требуется секретный ключ или открытый ключ. Наш инструмент только декодирует токены; проверка подписи должна выполняться на вашем безопасном сервере.

Безопасно ли вставлять мой токен JWT здесь?

Наш инструмент обрабатывает токены полностью в вашем браузере — ничего не отправляется на серверы. Однако вы все равно должны быть осторожны с производственными токенами. Для максимальной безопасности используйте только тестовые/разработочные токены или используйте этот инструмент в автономном режиме, сохранив веб-страницу локально.

Почему мой JWT начинается с 'eyJ'?

Все JWT начинаются с 'eyJ', потому что заголовок JSON (обычно {"alg":"HS256","typ":"JWT"}) начинается с '{"', что при кодировании в Base64Url становится 'eyJ'. Это надежный индикатор того, что строка является токеном JWT.

Может ли этот инструмент проверять подписи JWT?

Нет, проверка подписи требует секретного ключа (алгоритмы HMAC) или открытого ключа (алгоритмы RSA/ECDSA). Ввод этих ключей в онлайн-инструмент был бы серьезным риском безопасности. Всегда проверяйте подписи на ваших собственных безопасных серверах с использованием надежных библиотек.

Что означает 'exp' в полезной нагрузке?

Утверждение 'exp' (срок действия) — это временная метка Unix, указывающая, когда токен истекает. Токены должны быть отклонены после этого времени. Например, 'exp': 1735689600 означает, что токен истекает 1 января 2025 года в 00:00:00 UTC.

У моего токена три точки вместо двух. Это действительно?

Стандартные JWT имеют ровно две точки, разделяющие три части (заголовок.полезная_нагрузка.подпись). Дополнительные точки указывают, что токен может быть искажен, закодирован дважды или не быть стандартным JWT. Проверьте код генерации токена.

Могу ли я использовать этот инструмент для токенов OAuth 2.0?

Да! Токены доступа OAuth 2.0 и токены ID (из OpenID Connect) часто являются JWT. Вы можете декодировать их для просмотра информации о пользователе, областей, сроков действия и других утверждений. Однако некоторые провайдеры OAuth используют непрозрачные токены (случайные строки), которые не могут быть декодированы.

Что такое алгоритм 'none' и почему он опасен?

Алгоритм 'none' означает, что токен не имеет подписи. Если сервер принимает токены с 'alg': 'none', злоумышленники могут подделать токены, создав заголовок/полезную нагрузку с любыми утверждениями и без подписи. Безопасные системы всегда должны отклонять токены с алгоритмом 'none'.