Liitä mikä tahansa JSON Web Token dekoodataksesi sen otsikon ja hyötykuorman välittömästi, tarkistaaksesi vanhenemistilan ja vahvistaaksesi sen allekirjoituksen — HS256, RS256, ES256, PS256 ja muita. 100 % asiakaspuolen käsittely; tokenisi eivät koskaan poistu selaimestasi.
Pieni JSON-objekti, joka nimeää allekirjoitusalgoritmin (alg) ja
tokenin tyypin (typ). Se on dekoodattu, ei salattu — kenen tahansa tokenin haltijan nähtävissä.
Väitteet (claims) — varsinaiset tiedot, kuten ketä token edustaa
(sub) ja milloin se vanhenee (exp). Myös vain koodattu, älä koskaan käsittele
sitä salaisena.
Kryptografinen allekirjoitus otsikolle ja hyötykuormalle. Tämä on ainoa osa, joka todistaa tokenin olevan aito ja muokkaamaton — ja ainoa osa, jonka tarkistamiseen tarvitaan avain.
HMAC- tai julkisen avaimen allekirjoittamaJWT-dekooderi jakaa tokenin kolmeen osaan — otsikko, hyötykuorma ja allekirjoitus — ja Base64URL-dekoodaa otsikon ja hyötykuorman, jotta voit lukea niiden sisällön ja metatiedot, kuten käytetyn algoritmin, aiheen ja vanhenemisajan.
Ei. Dekoodaus vain paljastaa tokenin luettavan sisällön — se ei vaadi salaisuutta eikä todista mitään aitoudesta. Vahvistaminen tarkistaa allekirjoituksen salaista tai julkista avainta vasten varmistaakseen, että token on aito eikä sitä ole peukaloitu. Kuka tahansa voi dekoodata JWT:n; vain oikean avaimen haltija voi vahvistaa sen.
Et. JWT:n otsikko ja hyötykuorma on vain Base64URL-koodattu, ei salattu, joten kuka tahansa voi dekoodata ja lukea ne ilman avainta. Salaista tai julkista avainta tarvitaan vain allekirjoituksen vahvistamiseen, ei luettavan sisällön dekoodaamiseen.
Ei. Tämä työkalu toimii täysin selaimessasi käyttämällä JavaScriptiä ja Web Crypto API:a. Tokeniasi, salaista avaintasi ja julkista avaintasi ei koskaan lähetetä minnekään. Voit vahvistaa tämän itse tarkistamalla selaimesi Verkko (Network) -välilehden työkalua käyttäessäsi.
Kyllä. Tämä dekooderi tukee allekirjoituksen vahvistusta HMAC-algoritmeille (HS256, HS384, HS512) käyttämällä jaettua salaisuutta, sekä julkisen avaimen algoritmeille (RS256/384/512, ES256/384/512, PS256/384/512) käyttämällä PEM-muotoista julkista avainta.
JWT:t sisältävät usein exp-väitteen — Unix-aikaleiman, joka merkitsee
milloin token lakkaa olemasta voimassa. Jos nykyinen aika on tuon aikaleiman ohi, token
on vanhentunut ja minkä tahansa sitä tarkistavan palvelimen tulisi hylätä se, vaikka itse allekirjoitus
olisikin yhä voimassa.
'none'-algoritmi tarkoittaa, että token väittää, ettei sillä ole allekirjoitusta lainkaan. Tämä on tunnettu JWT-haavoittuvuus — jotkut huonosti määritetyt kirjastot hyväksyvät nämä tokenit kelvollisina tarkistamatta mitään, jolloin hyökkääjä voi väärentää mielivaltaisia väitteitä. Tuotantojärjestelmien tulisi aina hylätä allekirjoittamattomat tokenit.
Luo uusi, kryptografisesti turvallinen JWT-salainen avain uusien tokenien allekirjoittamiseen — ilmainen, välitön ja 100 % selainpohjainen.
Siirry JWT-salaisen avaimen generaattoriin