JWT デコーダ

JWT デコーダーは、JSON Web トークンを 3 つのドットで区切ったセグメントに分割し、base64url-はヘッダーとペイロードをデコードし、両方をフォーマットされた JSON としてレンダリングします。 JWT は暗号化されていません。「エンコード」は、可逆変換である Base64URL だけです。トークンを保持している人なら誰でも、その中のすべてのクレームを読み取ることができます。 このツールは、その検査を即座にします: Set-Cookie ヘッダーからトークン、承認ヘッダー (ベアラ プレフィックスは自動的に削除されます)、または認証プロバイダーのダッシュボードからトークンを貼り付け、サーバーに何を入れたかを正確に確認します。

クレーム テーブルは、実際にデバッグが行われる場所です。 登録された時間の請求 - EXP (期限切れ)、IAT (発行済み)、および NBF (以前はない) - は、UNIX のタイムスタンプであり、RAW を読むのは役に立ちません。 デコーダは、それぞれを人間の日付と相対的な時間 (「3 時間前に期限切れ」、「14 分で期限切れ」) に変換し、期限切れのトークンに赤でフラグを立てます。 ほとんどの「401 は無許可ですが、トークンは問題ないように見えます」インシデントは、期限切れの EXP、クロック スキューの NBF、または API が検証したものと一致しない AUD クレームに帰着します。すべてここで 2 秒で表示されます。

このツールが意図的にできないことの 1 つは、署名の確認です。 検証には署名の秘密 (HS256) または公開鍵 (RS256/ES256) が必要であり、HMAC シークレットを貼り付けるように求めるクライアント側のツールは、悪い習慣を教えることになります。 デコードは 100% クライアント側です。トークンはブラウザーを離れることもなく、サーバーにもヒットもせず、要求ログに表示されません。これは、ライブ プロダクション JWT がベアラの資格情報であるため、重要です。 それを持っている人は、あなたですか。

デコードは検証できません。違いは、JWT のセキュリティ モデル全体です。 ヘッダーとペイロードは暗号化されていない base64url であるため、トークンを保持している人なら誰でも、キーなしでその中のすべてのクレームを読み取ることができます。 署名が提供するのは、内容が変更されていないことを証明するものであり、それを確認するには、サーバー側の操作である秘密鍵または公開鍵が必要です。 ペイロードを公開情報として扱います。重要なものを決して入れないでください。