Decoder JWT e ispettore delle dichiarazioni
Decodifica un JSON Web Token compatto in tre parti per esaminarne intestazione e dichiarazioni, poi confronta quelle temporali con l’orologio attuale. La decodifica non verifica la firma e non stabilisce fiducia.
Come funziona l’ispettore JWT
Un JWT compatto firmato ha tre parti Base64url separate da punti: un’intestazione JSON, un contenuto JSON con dichiarazioni e un segmento di firma. Questo strumento decodifica intestazione e contenuto come oggetti JSON UTF 8. Non verifica firma, emittente, destinatario, permessi o autorizzazioni.
Inserisci un token compatto in tre parti. Intestazione e contenuto decodificati appaiono come JSON formattato, mentre la tabella mostra dichiarazioni comuni come iss, sub, aud, exp, iat e nbf. Questo strumento non supporta il formato cifrato in cinque parti. L’intestazione protetta può essere leggibile come JSON, ma le dichiarazioni nel contenuto cifrato non sono ispezionabili senza decifrazione.
I valori NumericDate in exp, iat e nbf sono interpretati come secondi dall’epoca UTC, comprese le frazioni. Scadenza e inizio validità vengono confrontati con l’orologio mostrato. Le date mancanti e malformate sono segnalate separatamente. Questi confronti non convalidano il token né le sue dichiarazioni.
Un segmento di firma indicato come presente significa solo che la terza parte contiene testo. Lo strumento non controlla valore crittografico, algoritmo, chiave o emittente. Considera non attendibili tutte le dichiarazioni decodificate finché il servizio emittente non verifica il token.
Passo dopo passo
- Incolla un JWT compatto in tre parti nel campo del token.
- Esamina intestazione e contenuto decodificati, segmento di firma e dichiarazioni mostrate.
- Confronta exp e nbf con l’orologio mostrato, poi fai verificare token, chiave e regole attese prima di usarlo.
Esempio svolto
Incolla questo token di esempio: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2lzc3Vlci5leGFtcGxlIiwic3ViIjoidXNlci0xMjMiLCJhdWQiOiJhcGkuZXhhbXBsZSIsImV4cCI6MTg5MzQ1NjAwMCwiaWF0IjoxODkzNDUyNDAwLCJuYmYiOjE4OTM0NTI0MDB9.c2ln. Si decodifica in un’intestazione con alg HS256 e typ JWT e dichiarazioni per emittente, soggetto, destinatario, scadenza, emissione e inizio validità.
L’esempio ha un terzo segmento non vuoto, quindi il display indica che il testo della firma è presente. Non verifica la firma. exp corrisponde alle 00:00 UTC del 1º gennaio 2030; iat e nbf corrispondono alle 23:00 UTC del 31 dicembre 2029. Il confronto dipende dall’orologio attuale.
Quando usare questo ispettore
Usalo per visualizzare l’intestazione JSON e le dichiarazioni di un token compatto in tre parti durante sviluppo o risoluzione dei problemi.
Usa un servizio fidato distinto per verificare firme e autorizzazioni. Considera non attendibile il contenuto decodificato finché questi controlli non riescono.
Errori di interpretazione comuni
Non considerare JSON leggibile, un segmento di firma presente o una dichiarazione exp non scaduta come prova di autenticità. Decodifica e confronto temporale non sono verifiche crittografiche.
Non presumere che iss, aud, sub o permessi personalizzati siano veri solo perché compaiono nel contenuto. Un servizio deve verificare la firma e applicare le proprie regole per dichiarazioni e autorizzazioni.
Struttura JWT e dichiarazioni temporali
JWT compatto = Base64url(UTF8(intestazione JSON)) . Base64url(UTF8(contenuto JSON)) . segmento di firma
Scadenza raggiunta = ora UTC attuale in secondi ≥ exp
Inizio validità raggiunto = ora UTC attuale in secondi ≥ nbf
NumericDate = secondi dal 01 01 1970 alle 00:00:00 UTC
Questo strumento esamina la forma compatta firmata in tre parti. Decodifica rigorosamente Base64url senza riempimento e UTF 8, e richiede che intestazione e contenuto siano oggetti JSON. La scadenza o l’inizio validità mostrati sono solo confronti con l’orologio, non verifiche della firma o decisioni di autenticazione.
Ambito e limiti
Questa pagina esamina un JWT compatto in tre parti e ne decodifica intestazione e contenuto. Non verifica firme, algoritmi o chiavi, non conferma emittente o destinatario, non valuta permessi e non decide se un’applicazione debba accettare il token. Non decifra JWE in cinque parti, non recupera chiavi e non contatta emittenti o servizi di token. I numeri JSON oltre la precisione supportata vengono rifiutati e le date mostrate hanno precisione al millisecondo. Le dichiarazioni temporali sono confrontate con l’orologio del browser, che può differire da quello di un servizio. Lo strumento non salva il token, ma chi accede alla pagina aperta può vederlo.
Termini chiave
- JWT
- JSON Web Token, una struttura che rappresenta dichiarazioni e può essere firmata, protetta da modifiche o cifrata.
- Dichiarazione
- Valore con nome nel contenuto del token, come emittente, soggetto, destinatario o valore temporale.
- NumericDate
- Numero di secondi dal 1 gennaio 1970 alle 00:00:00 UTC. Sono ammesse frazioni di secondo.
FAQ
Un token decodificato è valido?
No. La decodifica mostra solo la struttura leggibile. Non dimostra che il token provenga da un servizio fidato o che il suo contenuto sia attendibile.
Lo strumento verifica la firma?
No. Indica soltanto se il terzo segmento contiene testo. Un verificatore deve usare l’algoritmo previsto e una chiave fidata per l’emittente del token.
Perché i token in cinque parti non sono supportati?
Un JWE compatto in cinque parti può avere un’intestazione protetta leggibile come JSON. Le dichiarazioni nel contenuto cifrato non sono ispezionabili senza decifrazione. Questo strumento supporta solo JWT compatti in tre parti.
Che cosa significano exp, iat e nbf qui?
Sono dichiarazioni NumericDate espresse in secondi dall’epoca UTC. Lo strumento confronta exp e nbf con l’orologio attuale e mostra iat come data. I valori mancanti o malformati sono indicati separatamente. Questi confronti non convalidano il token.
Che cosa prova un segmento di firma presente?
Solo che la terza parte non è vuota. Lo strumento non verifica byte della firma, algoritmo, chiave, emittente, destinatario o permessi.
Strumenti correlati
L’encoder del contenuto Base64 può esaminare singole parti codificate. Per verificare firme e requisiti delle dichiarazioni, consulta la documentazione del tuo fornitore di identità o servizio.