Penyahkod JWT

Baca mana-mana JWT tanpa menghantarnya ke mana-mana

Tampal JSON Web Token dan penyahkod akan memecahkannya kepada tiga bahagian: pengepala (algoritma yang menandatanganinya), payload (tuntutan: siapa pengguna, apa yang boleh diakses dan bila token tamat tempoh) dan tandatangan. JSON diformat supaya mudah dibaca sepintas lalu.

Tuntutan masa ditukar menjadi tarikh sebenar. exp, iat dan nbf dipaparkan dalam zon waktu anda, dalam UTC dan sebagai “dalam 20 minit” atau “3 hari lalu”, dan status terus memberitahu sama ada token masih sah, sudah tamat tempoh atau belum sah.

Token selalunya memberi akses kepada akaun sebenar, jadi semuanya dinyahkod dalam pelayar anda. Token tidak pernah dimuat naik ke pelayan kami, dilog atau disimpan. Ini lebih selamat daripada menampalnya ke dalam chatbot atau laman yang menghantarnya ke pelayan.

Cara menyahkod JWT

1. Salin token daripada aplikasi anda, pengepala Authorization, kuki atau alat pembangun pelayar.
2. Tampalkan ke dalam kotak. Awalan Bearer, tanda petik, ruang dan baris baharu dibuang secara automatik.
3. Baca ringkasan: status, algoritma, pengeluar, subjek, audiens serta masa dikeluarkan dan tamat tempoh yang tepat.
4. Gunakan butang salin untuk membawa JSON pengepala atau payload yang telah diformat ke laporan pepijat atau nota anda.

Maksud tuntutan yang biasa

• exp (expiration time): selepas saat ini token mesti ditolak.
• iat (issued at): bila token dicipta.
• nbf (not before): token tidak boleh diterima sebelum saat ini.
• iss (issuer): siapa yang mencipta token, selalunya URL pelayan log masuk anda.
• sub (subject): siapa yang dimaksudkan oleh token, biasanya ID pengguna.
• aud (audience): aplikasi atau API yang menjadi sasaran token.
• alg dan kid (dalam pengepala): algoritma tandatangan seperti HS256 atau RS256, dan ID kunci yang menandatanganinya.

Tarikh JWT ialah nilai NumericDate: bilangan saat sejak 1 Januari 1970 UTC. Penyahkod menukarnya untuk anda, jadi anda tidak perlu penukar timestamp yang berasingan.

Petua nyahpepijat

• Jika API membalas 401 sejurus selepas log masuk, semak exp dan nbf dahulu. Jam pelayan yang terlalu cepat atau lambat beberapa minit ialah punca biasa; kebanyakan pustaka membenarkan sedikit kelonggaran.
• Tarikh puluhan ribu tahun pada masa depan bermaksud nilainya ditulis dalam milisaat, bukan saat. Penyahkod akan memberi amaran apabila ini berlaku.
• Bandingkan aud dan iss dengan apa yang dijangka oleh API anda. Token yang dikeluarkan untuk aplikasi atau persekitaran lain (staging, bukan pengeluaran) kerap menyebabkan ralat “token tidak sah”.
• Pengepala dengan alg bernilai none bermaksud token tidak ditandatangani. Jangan sekali-kali menerima token sebegitu dalam pengeluaran.

Had dan perkara yang perlu diketahui

• Menyahkod bukan mengesahkan. Sesiapa sahaja boleh mencipta token dengan apa-apa tuntutan; hanya semakan tandatangan dengan kunci yang betul, di pelayan anda, membuktikan ia tulen. Alat ini tidak mengesahkan tandatangan.
• Payload JWT biasa hanya dikodkan, bukan disulitkan. Sesiapa yang memegang token boleh membacanya, jadi jangan sekali-kali meletakkan kata laluan atau rahsia dalam tuntutan.
• Token yang disulitkan (JWE, lima bahagian) tidak boleh dibaca tanpa kunci, jadi hanya pengepalanya dipaparkan.
• Nombor dipaparkan tepat seperti dalam token, jadi ID nombor yang panjang tidak pernah dibundarkan.

Soalan lazim

Selamatkah menampal token sebenar di sini?

Ya. Penyahkodan berjalan dengan JavaScript dalam pelayar anda dan token tidak pernah dihantar ke pelayan kami. Namun, layan token aktif seperti kata laluan: jangan kongsi dalam tangkapan skrin atau sembang, dan biarkan ia tamat tempoh.

Bolehkah alat ini memberitahu sama ada token sah?

Ia memberitahu sama ada token sudah tamat tempoh atau belum sah berdasarkan tarikhnya. Ia tidak dapat memastikan tandatangan tulen, kerana itu memerlukan kunci rahsia atau awam yang sepatutnya hanya ada pada pelayan anda.

Mengapa token saya kelihatan tamat tempoh sedangkan baru diterima?

Semak jam pelayan yang mengeluarkannya dan pastikan exp dalam saat, bukan milisaat. Jika iat juga beberapa jam pada masa lalu, jam pelayan mungkin salah.

Apakah beza penyahkod JWT dengan penyahkod Base64?

JWT ialah tiga bahagian berkod Base64URL yang disambung dengan titik. Penyahkod Base64 membaca satu bahagian pada satu masa, manakala penyahkod JWT memecahkan token untuk anda, memahami abjad selamat-URL dan pelapik yang tiada, serta menukar tarikh kepada masa yang mudah dibaca.

Bolehkah ia berfungsi di luar talian?

Ya. Selepas halaman dimuatkan, anda boleh memutuskan internet dan terus menyahkod token.

Alat berkaitan

• Penyahkod Base64: Nyahkod rentetan Base64 kepada teks asal serta-merta. Sesuai untuk header HTTP, token, JSON dan e-mel. Menyokong UTF-8. Percuma.
• Pengesah dan Pemformat JSON: Semak sama ada JSON anda sah dan formatkannya dengan inden yang kemas. Cari koma hilang, petikan tunggal dan ralat lain. Percuma.
• Penyahkod URL: Tukar kod seperti %20, %3A dan %2F kembali kepada teks yang boleh dibaca. Sesuai untuk pautan iklan, UTM dan log analitik. Percuma.
• Pengekod Base64: Kodkan teks kepada Base64 dengan segera untuk API, header HTTP, data URI dan konfigurasi. Menyokong UTF-8. Percuma, tanpa daftar.