Avkoda JWT-tokens och Inspektera Claims SäKert
Snabbt svar
För att avkoda en JWT: klistra in token i JWT Decoder och header och payload visas omedelbart som formaterad JSON. Verktyget avkodar Base64URL-delarna lokalt —din token lämnar aldrig din browser. Kom ihåg: avkodning visar bara innehåll; den verifierar inte signature.
Introduktion
En JWT (JSON Web Token) är ett kompakt, URL-säkert token-format använt för autentisering och informationsutbyte. En JWT har tre delar separerade med punkter: header.payload.signature. Header specificerar algoritmen, payload innehåller claims (user ID, roles, expiration) och signature bevisar att token inte manipulerats. Avkodning låter dig inspektera innehållet för debugging —men avkodning verifierar inte äkthet.
Steg för steg
-
Öppna JWT Decoder-verktyget
Gå till verktygssidan för JWT Decoder. Verktyget accepterar alla JWT-strängar (tre Base64URL-kodade delar separerade med punkter).
-
Klistra in din JWT-token
Klistra in JWT i inmatningsfältet. En typisk JWT ser ut så här: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyMSJ9.signature. Verktyget känner automatiskt av de tre delarna.
-
Granska den avkodade rubriken
Verktyget Base64URL-avkodar den första delen och visar den som JSON. Rubriken innehåller vanligtvis 'alg' (algoritm, t.ex. HS256) och 'typ' (typ, vanligtvis 'JWT').
-
Granska den avkodade nyttolasten (anspråk)
Verktyget avkodar den andra delen och visar anspråken som formaterade JSON. Vanliga anspråk inkluderar 'sub' (ämne/användar-ID), 'iat' (utfärdat på), 'exp' (utgångsdatum) och 'roll' (användarroll).
-
Kontrollera signaturen (tredje delen)
Verktyget visar signaturdelen. Obs: avkodning verifierar INTE signaturen. För att verifiera behöver du signeringsnyckeln och ett verifieringsbibliotek. Lita aldrig på en JWTs anspråk utan att verifiera signaturserversidan.
Exempel
Avkoda en enkel JWT
Input: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyMSIsIm5hbWUiOiJBbGljZSIsImlhdCI6MTY5MzUyNjQwMH0.signature
Produktion: Header: {"alg":"HS256","typ":"JWT"}
Payload: {"sub":"user1","name":"Alice","iat":1693526400}
JWT med giltighetskrav
Input: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTY5MzYxMjgwMH0.sig
Produktion: Header: {"alg":"HS256"}
Payload: {"sub":"admin","exp":1693612800}
Vanliga problem
- Att blanda ihop avkoda med verifiera — avkodning av en JWT läser bara dess innehåll; det bevisar INTE att token är äkta. Verifiera alltid signaturserversidan med signeringsnyckeln.
- Att lita på utgångna tokens — kontrollera "exp"-anspråket och avvisa utgångna tokens. Värdet "exp" är en Unix-tidsstämpel i sekunder.
- Base64 vs Base64URL —JWT använder Base64URL-kodning (ingen utfyllnad, - och _ istället för + och /). En standard Base64 dekoder kommer att misslyckas på JWT delar.
- Känsliga data i nyttolast —JWT nyttolaster kan läsas av alla som har token. Lagra inte lösenord, kreditkortsnummer eller andra hemligheter i nyttolasten.
Tips
- Verifiera alltid JWT-signaturserversidan innan du litar på några anspråk – enbart avkodning är inte autentisering.
- Kontrollera "exp" (utgångsdatum) och "nbf" (inte tidigare) anspråken för att säkerställa att token är giltig för den aktuella tiden.
- Använd kortlivade tokens (15-60 minuter) med refresh-tokens för långa sessioner — minimerar skador om en token läcker.
- Använd vår JWT-avkodare för säker, lokal felsökning – din token lämnar aldrig din webbläsare.