JWT avkodare och granskare av anspråk
Avkoda en kompakt JSON Web Token med tre delar för att granska dess header och anspråk och jämföra tidsanspråk med den aktuella klockan. Avkodning verifierar inte en signatur eller skapar tillit.
Så fungerar JWT granskaren
En kompakt signerad JWT har tre Base64url delar åtskilda av punkter: en JSON header, en JSON nyttolast med anspråk och ett signatursegment. Verktyget avkodar header och nyttolast som UTF 8 JSON objekt. Det verifierar inte signatur, utfärdare, mottagare, behörigheter eller åtkomst.
Ange en kompakt token med tre delar. Den avkodade headern och nyttolasten visas som formaterad JSON. Tabellen visar vanliga anspråk som iss, sub, aud, exp, iat och nbf. Verktyget stöder inte det krypterade formatet med fem delar. Den skyddade headern kan vara läsbar JSON, men anspråken i den krypterade nyttolasten kan inte granskas utan dekryptering.
NumericDate värden i exp, iat och nbf tolkas som sekunder från UTC epoken, även bråkdelar. Utgångstid och tid för giltighetens början jämförs med den visade klockan. Saknade och felaktiga datum visas separat. Jämförelserna validerar inte token eller dess anspråk.
Ett signatursegment som visas som närvarande betyder bara att den tredje delen innehåller text. Verktyget kontrollerar inte det kryptografiska värdet, algoritmen, nyckeln eller utfärdaren. Betrakta avkodade anspråk som opålitliga tills den utfärdande tjänsten har verifierat token.
Steg för steg
- Klistra in en kompakt JWT med tre delar i tokenfältet.
- Granska avkodad header, nyttolast, signatursegment och visade anspråk.
- Jämför exp och nbf med den visade klockan och låt token kontrolleras med förväntad nyckel och regler innan du litar på den.
Genomräknat exempel
Klistra in denna exempel token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2lzc3Vlci5leGFtcGxlIiwic3ViIjoidXNlci0xMjMiLCJhdWQiOiJhcGkuZXhhbXBsZSIsImV4cCI6MTg5MzQ1NjAwMCwiaWF0IjoxODkzNDUyNDAwLCJuYmYiOjE4OTM0NTI0MDB9.c2ln. Den avkodas till en header med alg HS256 och typ JWT samt anspråk för utfärdare, subjekt, mottagare, utgångstid, utfärdandetid och giltighetsstart.
Exemplet har ett icke tomt tredje segment, så vyn visar att signaturtext finns. Den verifierar inte signaturen. exp motsvarar 00:00 UTC den 1 januari 2030; iat och nbf motsvarar 23:00 UTC den 31 december 2029. Jämförelsen beror på den aktuella klockan.
När du kan använda granskaren
Använd den för att visa JSON header och anspråk i en kompakt token med tre delar under utveckling eller felsökning.
Använd en separat betrodd tjänst för att verifiera signaturer och åtkomst. Behandla avkodat innehåll som opålitligt tills kontrollerna har godkänts.
Vanliga feltolkningar
Ta inte läsbar JSON, ett befintligt signatursegment eller ett exp anspråk som inte löpt ut som bevis på äkthet. Avkodning och tidsjämförelse är inte kryptografisk verifiering.
Anta inte att iss, aud, sub eller egna behörighetsanspråk är sanna bara för att de finns i nyttolasten. En tjänst måste verifiera signaturen och tillämpa egna regler för anspråk och åtkomst.
JWT struktur och tidsanspråk
Kompakt JWT = Base64url(UTF8(JSON header)) . Base64url(UTF8(JSON nyttolast)) . signatursegment
Utgångstid nådd = aktuell UTC tid i sekunder ≥ exp
Giltighetens början nådd = aktuell UTC tid i sekunder ≥ nbf
NumericDate = sekunder sedan 1970 01 01 00:00:00 UTC
Verktyget granskar det kompakta signerade formatet med tre delar. Det avkodar opaddad Base64url och UTF 8 strikt och kräver JSON objekt som header och nyttolast. Visad utgångstid eller giltighetsstart är bara en klockjämförelse, inte signaturverifiering eller ett autentiseringsbeslut.
Omfattning och begränsningar
Sidan granskar en kompakt JWT med tre delar och avkodar dess header och nyttolast. Den verifierar inte signaturer, algoritmer eller nycklar, bekräftar inte utfärdare eller mottagare, bedömer inte behörigheter och avgör inte om ett program ska godta token. Den dekrypterar inte JWE med fem delar, hämtar inte nycklar och kontaktar inte utfärdare eller token tjänster. JSON tal utanför stödd precision avvisas, och visade datum har millisekundprecision. Tidsanspråk jämförs med webbläsarens klocka, som kan skilja sig från en tjänsts klocka. Verktyget sparar inte token, men den som har tillgång till den öppna sidan kan se den.
Begrepp
- JWT
- JSON Web Token, en struktur som innehåller anspråk och kan vara signerad, skyddad mot ändringar eller krypterad.
- Anspråk
- Namngivet värde i tokenens nyttolast, till exempel utfärdare, subjekt, mottagare eller tidpunkt.
- NumericDate
- Antal sekunder sedan 1 januari 1970 klockan 00:00:00 UTC. Bråkdelar av sekunder tillåts.
FAQ
Är en avkodad token giltig?
Nej. Avkodning visar bara läsbar struktur. Den visar inte att en betrodd tjänst utfärdade token eller att innehållet går att lita på.
Verifierar verktyget signaturen?
Nej. Det visar bara om det tredje segmentet innehåller text. En verifierare måste använda väntad algoritm och en betrodd nyckel för tokenens utfärdare.
Varför stöds inte token med fem delar?
En kompakt JWE med fem delar kan ha en skyddad header som är läsbar JSON. Anspråken i den krypterade nyttolasten kan inte granskas utan dekryptering. Verktyget stöder bara kompakta JWT med tre delar.
Vad betyder exp, iat och nbf här?
De är NumericDate anspråk i sekunder från UTC epoken. Verktyget jämför exp och nbf med aktuell klocka och visar iat som datum. Saknade eller felaktiga värden visas separat. Jämförelserna validerar inte token.
Vad visar ett befintligt signatursegment?
Bara att den tredje delen inte är tom. Verktyget kontrollerar inte signaturens byte, algoritm, nyckel, utfärdare, mottagare eller behörigheter.
Relaterade verktyg
Base64 nyttolastkodaren kan granska enskilda kodade delar. Använd dokumentationen från din identitetsleverantör eller tjänst för att kontrollera signaturer och krav på anspråk.