Decodificatore JWT

Decodifica. Non verifica, e non sostiene mai il contrario. Decodificare disimballa ciò che un token dice di sé; dimostrare che un token è autentico significa controllarne la firma con la chiave segreta o pubblica che l'ha prodotta. Questo strumento non chiede una chiave e non ne riceve mai una, quindi la firma è riportata come non verificata invece di essere presentata in sordina come a posto.

I tre segmenti

I claim, etichettati

I sette claim registrati della RFC 7519 e del registro IANA - iss, sub, aud, exp, nbf, iat e jti - vengono estratti dal payload e ricevono il loro nome proprio: emittente, soggetto, destinatario, scadenza, non prima di, emesso il e identificativo del token. Tutto il resto che il tuo sistema ha messo nel token resta visibile nel payload decodificato, invece di essere nascosto perché non è standard.

Il tempo a parole invece che a numeri

exp, iat e nbf sono valori NumericDate, cioè secondi dal 1° gennaio 1970 UTC. Letti grezzi non dicono nulla, quindi vengono confrontati con l'ora corrente e riportati come quanto tempo resta, quanto tempo fa il token è stato emesso o quando diventa attivo. Di solito è tutta la domanda quando un token ha smesso di funzionare.

alg: none viene segnalato, non ignorato

Un token non protetto non porta alcuna firma crittografica. La RFC 7519 lo consente per casi interni specifici, e non offre alcuna protezione dalle manomissioni, quindi viene marcato esplicitamente invece di sembrare un token a cui è semplicemente capitato un terzo segmento corto. Una firma assente non deve mai essere scambiata per una soddisfatta.

Un token malformato riceve un motivo

Un numero errato di segmenti, un Base64URL rotto e un JSON non valido dentro un segmento producono ciascuno il proprio messaggio. L'errore dice quale dei tre casi è stato, invece di restituire un risultato vuoto e lasciarti indovinare se il token è troncato, corrotto o semplicemente non è un JWT.

Dietro questa pagina non c'è alcun endpoint API. Il token viene decodificato nella memoria del browser e non è mai caricato, registrato o memorizzato, cosa che qui conta più che nella maggior parte degli strumenti: un token di accesso di produzione incollato sul sito di qualcun altro è una credenziale che hai appena divulgato.