Dekoder JWT

Dekoduje. Nie weryfikuje i nigdy nie twierdzi inaczej. Dekodowanie rozpakowuje to, co token mówi sam o sobie; udowodnienie, że token jest autentyczny, oznacza sprawdzenie jego podpisu sekretem albo kluczem publicznym wystawcy. To narzędzie nie prosi o klucz i nigdy go nie otrzymuje, więc podpis jest raportowany jako niezweryfikowany, a nie po cichu przedstawiany jako w porządku.

Trzy segmenty

Zarejestrowane oświadczenia, opisane

Siedem zarejestrowanych oświadczeń z RFC 7519 i rejestru IANA - iss, sub, aud, exp, nbf, iat i jti - jest wyciąganych z ładunku i opatrywanych właściwymi nazwami: wystawca, podmiot, odbiorca, czas wygaśnięcia, nie przed, wystawiono oraz identyfikator tokenu. Wszystko inne, co Twój system umieścił w tokenie, pozostaje widoczne w zdekodowanym ładunku, zamiast być ukryte dlatego, że nie jest standardowe.

Czas słowami, a nie liczbami

exp, iat i nbf to wartości NumericDate, czyli sekundy od 1 stycznia 1970 UTC. Odczytane wprost nie mówią nic, więc są porównywane z bieżącym czasem i podawane jako ile zostało, jak dawno token wystawiono albo kiedy staje się aktywny. To zwykle całe pytanie, gdy token przestał działać.

alg: none jest wyraźnie oznaczany

Token niezabezpieczony nie niesie żadnego podpisu kryptograficznego. RFC 7519 dopuszcza go w określonych przypadkach wewnętrznych i nie daje on żadnej ochrony przed manipulacją, więc jest oznaczany wprost, zamiast wyglądać jak token, który po prostu ma krótki trzeci segment. Brakujący podpis nigdy nie powinien zostać wzięty za spełniony.

Uszkodzony token dostaje konkretny komunikat

Zła liczba segmentów, uszkodzony Base64URL i nieprawidłowy JSON w segmencie dają własny komunikat każdy. Awaria mówi, który z tych trzech przypadków to był, zamiast zwracać pusty wynik i zostawiać Ci zgadywanie, czy token jest ucięty, uszkodzony, czy po prostu nie jest tokenem JWT.

Za tą stroną nie ma punktu API. Token jest dekodowany w pamięci przeglądarki i nigdy nie jest wysyłany, zapisywany w logu ani przechowywany, co ma tu większe znaczenie niż w większości narzędzi: produkcyjny token dostępu wklejony na cudzą stronę to poświadczenie, które właśnie ujawniłeś.