Trình giải mã & Gỡ lỗi JWT Miễn phí

Trình giải mã JWT chia token thành ba phần — header, payload, và chữ ký — sau đó giải mã Base64URL header và payload để bạn có thể đọc các claims thực sự và metadata bên trong, chẳng hạn như thuật toán được sử dụng, chủ thể, và thời gian hết hạn.

Không. Việc giải mã chỉ tiết lộ nội dung có thể đọc được của token — nó không yêu cầu khóa bí mật và không chứng minh được tính xác thực của nó. Xác minh là việc kiểm tra chữ ký đối chiếu với khóa bí mật hoặc khóa công khai để xác nhận rằng token là hàng thật và chưa bị giả mạo. Bất kỳ ai cũng có thể giải mã JWT; chỉ ai có đúng khóa mới có thể xác minh nó.

Không. Header và payload của JWT chỉ được mã hóa Base64URL, không bị mã hóa bảo mật, vì vậy bất kỳ ai cũng có thể giải mã và đọc chúng mà không cần bất kỳ khóa nào. Khóa bí mật hoặc khóa công khai chỉ cần thiết để xác minh chữ ký, chứ không phải để giải mã nội dung có thể đọc được.

Không. Công cụ này chạy hoàn toàn trong trình duyệt của bạn bằng JavaScript và Web Crypto API. Token, khóa bí mật và khóa công khai của bạn không bao giờ được truyền đi đâu cả. Bạn có thể tự mình xác minh điều này bằng cách kiểm tra tab Network (Mạng) trên trình duyệt của bạn khi sử dụng công cụ.

Có. Trình giải mã này hỗ trợ xác minh chữ ký cho các thuật toán HMAC (HS256, HS384, HS512) bằng cách sử dụng khóa bí mật dùng chung, và cho các thuật toán khóa công khai (RS256/384/512, ES256/384/512, PS256/384/512) bằng cách sử dụng khóa công khai định dạng PEM.

JWT thường bao gồm claim exp — một dấu thời gian Unix đánh dấu thời điểm token hết hiệu lực. Nếu thời gian hiện tại đã vượt qua dấu thời gian đó, token đã hết hạn và sẽ bị từ chối bởi bất kỳ máy chủ nào kiểm tra nó, ngay cả khi bản thân chữ ký vẫn hợp lệ.

Thuật toán "none" có nghĩa là token tự tuyên bố không có chữ ký nào cả. Đây là một lỗ hổng JWT đã được ghi nhận rõ ràng — một số thư viện có cấu hình kém sẽ chấp nhận các token này là hợp lệ mà không kiểm tra bất cứ điều gì, cho phép kẻ tấn công giả mạo bất kỳ claim nào tùy ý. Hệ thống thực tế (production) phải luôn từ chối các token không có chữ ký.