Jak to działa
Podziel token na kropki. Pierwsze dwa segmenty to JSON zakodowany w formacie Base64URL; trzeci to dane podpisu binarnego. To narzędzie dekoduje nagłówek i ładunek, ładnie drukuje JSON i konwertuje iat i exp z sekund Uniksa na czytelne daty. Nigdy nie weryfikuje podpisu.
- Podpis nie jest sprawdzany: jest to dekoder, a nie walidator. Nigdy nie wklejaj tajemnic produkcyjnych do żadnego narzędzia online, łącznie z tym.
Dlaczego to ma znaczenie
Większość błędów JWT nie ma charakteru kryptograficznego. Są to tokeny, które wygasły, mają mylące ramy czasowe, oświadczenia odczytane w niewłaściwej jednostce lub ładunki zaufane przez klienta, który nigdy nie sprawdzał podpisu. Prawidłowe odczytanie tokena natychmiast daje odpowiedź na większość tych pytań.
Sprawdzony przykład
Ładunek typowego tokena dostępu zawiera sub, iat i exp. Dekodowanie pokazuje oświadczenia jako JSON i konwertuje exp z sekund na czytelną datę, co natychmiast wyjaśnia błąd „wygasł”.
Typowe błędy
- Czytanie roszczeń i całkowite pominięcie weryfikacji podpisu.
- Wklejanie tokenów produkcyjnych do dowolnego narzędzia online.
- Mylenie milisekundowych znaczników czasu z expem JWT opartym na sekundach.
Praktyczne wskazówki
Debuguj za pomocą tokenów wystawionych przez dzierżawcę programistycznego, nigdy produkcyjnego. Pamiętaj, że odwołanie tokenu JWT zwykle wymaga stanu po stronie serwera; krótkie terminy wygaśnięcia i tokeny odświeżania są praktyczną alternatywą dla czarnych list.
Jak z niego korzystać
- Otwórz narzędzie. Wszystko działa w zakładce przeglądarki.
- Wklej lub wpisz wprowadzone dane, a następnie wybierz żądaną czynność.
- Sprawdź wynik i skopiuj go jednym kliknięciem.
Często zadawane pytania
Czy weryfikuje podpis?
Nie. Dekoduje jedynie token. Nigdy nie traktuj zdekodowanych oświadczeń jako zaufanych bez weryfikacji podpisu po stronie serwera.
Dlaczego mój token wygląda na wygasły?
Sprawdź żądanie exp w stosunku do bieżącego czasu; przesunięcie zegara między maszynami jest częstą przyczyną odrzuconych tokenów.
Czy wklejanie tokenów produkcyjnych jest bezpieczne?
Preferuj tokeny testowe. Dekodowanie odbywa się lokalnie, ale token po opuszczeniu schowka nadal stanowi dane uwierzytelniające.
Czy to narzędzie jest naprawdę darmowe?
Tak. Nie ma konta, nie ma paywalla i nie ma limitu użytkowania. Aplikacja Tools została ufundowana przez stojące za nią studio aumenso.
Czy wszystko, co wprowadzę, zostanie przesłane?
Nie. Narzędzie działa w zakładce przeglądarki; to, co wpiszesz, nigdy nie jest do nas wysyłane ani przechowywane.