Was ist JWT-Decoder?
JWT-Decoder teilt einen JSON-Web-Token in seine drei durch Punkt getrennten Segmente auf, base64url-dekodiert den Header und die Nutzlast und rendert beide als formatiertes JSON. JWTs sind nicht verschlüsselt - die "Codierung" ist nur base64url, eine reversible Transformation -, damit jeder, der einen Token besitzt, jeden Anspruch darin lesen kann. Dieses Tool führt diese Inspektion sofort ein: Fügen Sie einen Token aus einem Set-Cookie-Header, einen Autorisierungs-Header (das Träger-Präfix wird automatisch entfernt) oder das Dashboard Ihres Authentifizierungsanbieters ein und sehen Sie genau, was Ihr Server dort eingefügt hat.
In der Anspruchstabelle findet Debugging statt Registrierte Zeitansprüche - Exp (Ablauf), iat (ausgestellt unter) und nbf (nicht vorher) - sind Unix-Zeitstempel, die nicht roh gelesen werden können. Der Decoder wandelt jedes auf ein UTC-Datum und eine relative Zeit um, angezeigt als „Abgelaufen (vor 3 Stunden)" oder „Gültig (abläuft in 14 Minuten)", und markiert abgelaufene Token in Rot. Die meisten „401 Unautorisiert", aber der Token sieht gut aus"-Vorfälle enden, ein uhrverzerrtes Nbf oder eine geprüfte Behauptung, die nicht mit den hier sichtbaren zwei Sekunden übereinstimmt.
Eine Sache, die dieses Tool absichtlich nicht tut: Signaturen überprüfen. Für die Überprüfung ist der Signing Secret (HS256) oder der öffentliche Schlüssel (RS256 / ES256) erforderlich, und ein clientseitiges Tool, das Sie zum Einfügen eines HMAC-Geheimnisses fordert, würde schlechte Gewohnheiten lehren. Die Dekodierung ist 100% clientseitig - der Token verlässt Ihren Browser nie, trifft auf keinen Server und erscheint in keinem Anfrageprotokoll, was zählt, da eine Live-Produktion JWT ein Bestandsnachweis ist. Wer es hat, bist du.
Die Dekodierung ist nicht verifiziert, und die Unterscheidung ist das gesamte Sicherheitsmodell eines JWT. Der Header und die Nutzlast sind base64url, nicht verschlüsselt, sodass jeder, der einen Token besitzt, jeden Anspruch darin ohne Schlüssel lesen kann. Was die Signatur liefert, ist der Beweis, dass der Inhalt nicht geändert wurde, und für die Überprüfung ist der geheime oder öffentliche Schlüssel erforderlich, der eine serverseitige Operation ist. Behandeln Sie die Nutzlast als öffentliche Information: Setzen Sie niemals etwas Sensibles hinein.
Eine schnelle Möglichkeit, einen JWT-Token online zu dekodieren und das Ergebnis zu überprüfen: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ.sig und klicken Decode. Das Bearer-Präfix wird gelöscht, {"alg"2NzIywMCwiZ" 20, „typ" zeigt 00.0, und der Payload-T-Suby0"
Wie verwende ich JWT-Decoder?
Fügen Sie Ihren Token ein
Lassen Sie das JWT in den Eingabebereich fallen. Holen Sie es sich aus dem Autorisierungsheader in Ihrem Browser DevTools Netzwerk, ein Cookie, LocalStorage oder eine Curl-Antwort. Ein führendes Präfix "Bearer" und die umgebenden Leerzeichen werden automatisch entfernt, sodass Sie den gesamten Header-Wert ohne Bereinigung einfügen können.
Lesen Sie den dekodierten Header und die Nutzlast
Beide Segmente rendern als formatierte JSON nebeneinander. Der Header informiert Sie über den Signaturalgorithmus (ALG: RS256, HS256, etc.) und Key ID (Kid) - nützlich, wenn sich Ihre JWKS-Rotation schlecht benimmt. Die Nutzlast enthält die Ansprüche: Sub, ISS, AUD, Bereiche, Rollen und alle benutzerdefinierten Daten, die Ihre Authentifizierungsschicht hinzugefügt hat.
Überprüfen Sie die Schadenstabelle auf Ablauf
Zeitansprüche (EXP, IAT, NBF) werden von Unix-Sekunden in lesbare Daten mit relativen Zeiten dekodiert. Eine abgelaufene EX zeigt in Rot mit genau, wie lange sie vergangen ist, eine gültige EX-Anzeige mit der verbleibenden Zeit in Grün. Wenn NBF in der Zukunft - normalerweise Uhrverzerrung zwischen Ihren Servern - wird, wird der Token abgelehnt, obwohl er gut "sieht".
Denken Sie daran: dekodiert, nicht verifiziert
Dieses Tool überprüft niemals die Signatur - das erfordert den geheimen oder öffentlichen Schlüssel und gehört auf Ihren Server, nicht in ein Browser-Tool. Behandeln Sie dekodierte Ansprüche niemals als vertrauenswürdige Eingabe: Ein Angreifer kann einen Token mit jeder gewünschten Nutzlast prägen. Nur eine verifizierte Unterschrift beweist, dass die Ansprüche von Ihrem Emittenten unverändert stammen.
Hauptmerkmale
Sofortiger Header + Payload-Dekodierung
Base64URL-Decodierung in reiner TypeScript - beide JSON-Segmente formatiert und sofort lesbar
Ablauferkennung
EXP-Anspruch rot markiert, wenn er abgelaufen ist, grün, wenn gültig, mit genauer relativer Zeit in beiden Richtungen
Humanisierte Zeitansprüche
exp, iat und nbf konvertiert von rohen Unix-Sekunden in ISO-Dates und Phrasierung im Stil von "3 Stunden".
tragbarer Präfix
Fügen Sie den gesamten Autorisierungs-Header ein - "Bearer" und Streu-Whitespace werden automatisch entfernt
Frequently Asked Questions
Related Tools
Bcrypt Generator
Generate and verify bcrypt password hashes in the browser with an adjustable cost factor
JWT Generator
Generate and sign JSON Web Tokens with HS256, HS384, or HS512, add standard claims, and copy the token. Runs client-side.
Password Generator
Generate strong, random passwords with custom character sets and strength analysis
Password Strength Checker
Test how strong a password is with an entropy-based strength meter, estimated crack times, and specific suggestions to make it harder to guess - all processed privately in your browser.
Comments
0 comments
No comments yet. Be the first to share your thoughts!