JWT-dekoder

Dekoda och inspektera JSON Web Tokens omedelbart

JWT-dekoder är ett gratis onlineverktyg för att dekoda, parsa och inspektera JSON Web Tokens (JWT). Visa omedelbart token header, payload, signatur och claims. Felsök autentiserings- och auktoriseringstokens som används i OAuth 2.0, OpenID Connect och moderna webbapplikationer. Fungerar helt i din webbläsare med fullständig integritet - inga tokens skickas någonsin till våra servrar.

Hur man använder JWT-dekoder

Att dekoda JWT-tokens är enkelt och omedelbart:

Steg 1: Klistra in din JWT-token
Klistra in din kompletta JWT-token i inmatningsfältet. JWT-tokens börjar vanligtvis med 'eyJ' och innehåller tre delar separerade med punkter (header.payload.signatur).
Steg 2: Automatisk dekodning
Token dekodas och parsas automatiskt i realtid. Inget behov av att klicka på någon knapp - resultaten visas omedelbart när du klistrar in.
Steg 3: Inspektera tokendelar
Visa den dekodade headern (algoritm, typ), payload (claims, utgång, utfärdad-vid), och signaturen. Varje del visas i formaterad JSON för enkel läsning och felsökning.

All JWT-dekodning och parsning sker lokalt i din webbläsare med JavaScript. Dina tokens lämnar aldrig din enhet och skickas aldrig till våra servrar, vilket säkerställer fullständig integritet och säkerhet.

form.title

JWT-tokeninmatning

Användningsfall

usecases.intro

Felsökning av API-autentisering

När API-förfrågningar misslyckas på grund av autentiseringsfel, dekoda JWT för att verifiera utgångstid, utfärdare och målgrupps-claims för att identifiera grundorsaken.

Säkerhetsrevision

Inspektera JWT:er som används i din applikation för att bekräfta att känsliga data inte exponeras i payload och att lämpliga algoritmer används.

Utveckling och testning

Under utveckling, verifiera snabbt att genererade tokens innehåller korrekta claims, roller och behörigheter innan integrationstester.

Token-utgångsanalys

Kontrollera 'exp' och 'iat' claims för att förstå tokens giltighetstider och lösa problem med sessionstimeouts i din applikation.

Lära sig JWT-struktur

Studenter och utvecklare som är nya till JWT kan visualisera den tredelade strukturen (header, payload, signatur) för att bättre förstå hur tokenbaserad autentisering fungerar.

Vad är JWT (JSON Web Token)?

JWT (JSON Web Token) är en öppen standard (RFC 7519) för säker överföring av information mellan parter som ett JSON-objekt. Den är kompakt, URL-säker och används i stor utsträckning för autentisering och informationsutbyte i moderna webbapplikationer.

Tredelad struktur

En JWT består av tre delar separerade av punkter: Header (algoritm och tokentyp), Payload (claims och data) och Signatur (verifieringshash). Varje del är Base64URL-kodad för säker överföring.

Vanliga användningsområden

JWT:er används främst för autentisering (inloggningssessioner), auktorisering (åtkomstkontroll) och säkert informationsutbyte mellan tjänster. De är tillståndslösa och eliminerar behovet av sessionslagring på serversidan.

Säkerhetsöverväganden

Även om JWT:er är signerade för att förhindra manipulation, är payloaden endast kodad, inte krypterad. Lagra aldrig känslig data som lösenord i JWT:er. Verifiera alltid signaturer på serversidan och använd HTTPS för överföring.

Vanliga frågor (FAQ)

Vad är skillnaden mellan att dekoda och verifiera en JWT?

Dekodning innebär att extrahera och läsa header och payload från token med Base64Url-dekodning - vem som helst kan göra detta. Verifiering innebär att kontrollera signaturen för att säkerställa att token inte har manipulerats - detta kräver den hemliga nyckeln eller offentliga nyckeln. Vårt verktyg dekodar bara tokens; signaturverifiering måste göras på din säkra server.

Är det säkert att klistra in min JWT-token här?

Vårt verktyg bearbetar tokens helt i din webbläsare - ingenting skickas till servrar. Du bör dock fortfarande vara försiktig med produktionstokens. För maximal säkerhet, använd endast test-/utvecklingstokens, eller använd detta verktyg offline genom att spara webbsidan lokalt.

Varför börjar min JWT med 'eyJ'?

Alla JWT:er börjar med 'eyJ' eftersom header-JSON (vanligtvis {\"alg\":\"HS256\",\"typ\":\"JWT\"}) börjar med '{\"' som Base64Url-kodas till 'eyJ'. Detta är en tillförlitlig indikator på att en sträng är en JWT-token.

Kan detta verktyg verifiera JWT-signaturer?

Nej, signaturverifiering kräver den hemliga nyckeln (HMAC-algoritmer) eller offentliga nyckeln (RSA/ECDSA-algoritmer). Att mata in dessa nycklar i ett onlineverktyg skulle vara en allvarlig säkerhetsrisk. Verifiera alltid signaturer på dina egna säkra servrar med pålitliga bibliotek.

Vad betyder 'exp' i payload?

Claimen 'exp' (utgång) är en Unix-tidsstämpel som anger när token går ut. Tokens ska avvisas efter denna tid. Till exempel, 'exp': 1735689600 betyder att token går ut den 1 januari 2025 kl. 00:00:00 UTC.

Min token har tre punkter istället för två. Är den giltig?

Standard-JWT:er har exakt två punkter som separerar tre delar (header.payload.signatur). Extra punkter indikerar att token kan vara felformaterad, dubbelkodad eller inte en standard-JWT. Kontrollera din tokengenererkod.

Kan jag använda detta verktyg för OAuth 2.0-tokens?

Ja! OAuth 2.0-åtkomsttokens och ID-tokens (från OpenID Connect) är ofta JWT:er. Du kan dekoda dem för att visa användarinformation, omfång, utgångstider och andra claims. Vissa OAuth-leverantörer använder dock ogenomskinliga tokens (slumpmässiga strängar) som inte kan dekodas.

Vad är 'none'-algoritmen och varför är den farlig?

Algoritmen 'none' betyder att token inte har någon signatur. Om en server accepterar tokens med 'alg': 'none', kan angripare förfalska tokens genom att skapa header/payload med vilka claims som helst och ingen signatur. Säkra system bör alltid avvisa tokens med 'none'-algoritmen.