JWT デコーダ

JWT デコーダーは、JSON Web トークンを 3 つのドットで区切ったセグメントに分割し、base64url-はヘッダーとペイロードをデコードし、両方をフォーマットされた JSON としてレンダリングします。 JWT は暗号化されていません。「エンコード」は、Base64URL であり、可逆変換であるため、トークンを保持している人なら誰でもその中のすべてのクレームを読み取ることができます。 このツールは、その検査を即座にします: Set-Cookie ヘッダーからトークン、承認ヘッダー (ベアラ プレフィックスは自動的に削除されます)、または認証プロバイダーのダッシュボードからトークンを貼り付け、サーバーに何を入れたかを正確に確認します。

クレーム テーブルは、実際にデバッグが行われる場所です。 登録された時間のクレーム — EXP (期限切れ)、IAT (発行済み)、および NBF (以前はない) — は、UNIX タイムスタンプであり、RAW を読むのは役に立ちません。 デコーダは、それぞれを人間の日付と相対的な時間 (「3 時間前に期限切れ」、「14 分で期限切れ」) に変換し、期限切れのトークンに赤でフラグを立てます。 ほとんどの「401 は無許可ですが、トークンは問題ないように見えます」インシデントは、期限切れの EXP、クロック スキューの NBF、または API が検証したものと一致しない AUD クレームに帰着します。すべてここで 2 秒で表示されます。

このツールが意図的にできないことの 1 つは、署名の確認です。 検証には署名の秘密 (HS256) または公開鍵 (RS256/ES256) が必要であり、HMAC シークレットを貼り付けるように求めるクライアント側のツールは、悪い習慣を教えることになります。 デコードは 100% クライアント側です。トークンはブラウザーを離れることはなく、サーバーにもヒットもせず、リクエスト ログに表示されません。これは、ライブ プロダクション JWT がベアラの資格情報であるため、重要です。 それを持っている人は、あなたですか。