jwt解码器

JWT 解码器将 JSON Web 标记分割成三个点分隔的段，base64url 解码头和有效负载，并将两者都呈现为格式化的 JSON。 JWT 没有加密 - “编码”只是 base64url，一个可逆的转换 - 因此任何持有令牌的人都可以读取其中的所有声明。 此工具可立即进行检查：粘贴来自 Set-Cookie 标头、授权标头（自动剥离承载前缀）或验证提供商的仪表板的令牌，并准确查看您的服务器在其中放置了什么。

声明表是实际进行调试的地方。 注册时间声明 - expiration，IAT（发出）和 NBF（不是之前） - 是 Unix 时间戳，无法读取原始内容。 解码器将每个日期和相对时间转换为人的日期和相对时间（“3小时前到期”，“在14分钟内过期”），并以红色标记过期令牌。 大多数“401 未经授权，但令牌看起来很好”的事件归结为过期的 EXP、时钟偏差的 NBF 或与 API 验证的 AUD 声明不匹配的声明 - 所有这些都可以在两秒钟内看到。

此工具故意不做的一件事：验证签名。 验证需要签名密钥 (HS256) 或公钥 (RS256/ES256)，客户端工具要求您粘贴 HMAC 机密将教授坏习惯。 解码是 100% 客户端 - 令牌永远不会离开您的浏览器，没有服务器，并且出现在无请求日志中，这很重要，因为实时生产 JWT 是一个承载凭证。 任何拥有它的人，都是你。

解码不是验证，区别是JWT的整个安全模型。 头和有效负载是 base64url，未加密，因此任何持有令牌的人都可以在没有任何密钥的情况下读取其中的所有声明。 签名提供的是内容未被更改的证明，并且检查它需要密钥或公钥，这是一个服务器端操作。 将有效负载视为公共信息：切勿将任何敏感内容放入其中。