JWTデコーダー

JWT（JSON Web Token）は、現代のWeb APIが認証・認可のクレームを表現するための標準的な方法です。署名アルゴリズムを記述するヘッダー、実際のクレーム（ユーザーID、ロール、有効期限など）を含むペイロード、そして受信サーバーがトークンの改ざんを検証できるようにする署名の3つの部分で構成される、コンパクトで自己完結型のトークンです。 このデコーダーはヘッダーとペイロードを即座に読み取れるため、認証問題のデバッグ、APIが実際に送信しているクレームの確認、トークンの有効期限の確認などができます。すべてブラウザ内でローカルに処理されるため、バックエンドやCLIツールは不要で、センシティブなトークンを第三者のサーバーに送信する必要もありません。

eyJhbGciOiJIUzI1NiJ9で始まるトークンは、{"alg":"HS256","typ":"JWT"}というヘッダーにデコードされます——これはトークンがHMAC-SHA256で署名されていることを示しています。

デコーダーはJWTを2つのドット区切りで分割し、最初の2セグメントをBase64URLでデコードします。ヘッダーには署名アルゴリズム（HS256やRS256など）とトークンの種類が示されます。ペイロードには実際のクレーム（ユーザーID、権限、タイムスタンプ）が含まれます。 タイムスタンプのクレーム（exp、iat、nbf）はUnixエポックから読みやすい日付へ自動変換されます。'exp'が過去の日付を示している場合、トークンは期限切れで、ほとんどのサーバーが拒否します。'sub'（サブジェクト）クレームには通常ユーザーIDが含まれ、'iss'（発行者）はトークンを作成したサーバーを識別します。 デコードは検証ではないことを覚えておいてください。署名セクションは表示されますが、秘密鍵または公開鍵なしでは検証できません。デコードされたペイロードは参考情報にすぎません。サーバー側の署名検証なしに、身元の証明として信頼してはいけません。