中國航空解碼器

JWT 解碼器將 JSON Web 令牌拆分為其三個點分隔的段，Base64URL 解碼標頭和有效負載，並將其呈現為格式化的 JSON。 JWT 沒有加密 - “編碼”只是 base64URL，一個可逆的轉換 - 所以任何持有令牌的人都可以讀取其中的每個聲明。 此工具使檢查即時：從 Set-Cookie 標頭、授權標題（Bearer 前綴自動刪除）或您的授權提供者儀表板貼上一個令牌，並準確查看您的伺服器放入了什麼。

聲明表是調試實際發生的地方。 註冊時間聲明 - exp（到期）、IAT（發行在）和 NBF（未在之前） - 是 Unix 時間戳記，無法閱讀 RAW。 解碼器將每個轉換為人類日期和相對時間（“3 小時前到期”、“在 14 分鐘內過期”）和標誌以紅色過期的代幣。 大多數「401 未經授權，但令牌看起來不錯」事件歸結為過期的經驗、時鐘偏斜的 NBF 或與 API 驗證的內容不符的 AUD 聲明 - 所有這些都在兩秒鐘內可見。

這個工具故意不做的一件事：驗證簽名。 驗證需要簽署秘密 (HS256) 或公鑰 (RS256/ES256)，而客戶端工具要求您貼上 HMAC 秘密會教導壞習慣。 解碼是 100% 客戶端 - 令牌永遠不會離開您的瀏覽器，沒有伺服器，並且出現在無請求日誌中，這很重要，因為現場生產 JWT 是承載憑證。 擁有它的人，就是你。

解碼沒有驗證，區別是 JWT 的整個安全模型。 標頭和有效負載是 base64URL，未加密，因此任何持有令牌的人都可以在沒有任何金鑰的情況下閱讀其中的每個聲明。 簽名提供的證明內容沒有被更改，檢查它需要密鑰或公鑰，這是伺服器端操作。 將有效載荷視為公共資訊：永遠不要在其中放任何敏感的東西。