Penyahkod JWT

Tampal mana-mana JWT untuk terus menyahkod header dan payloadnya — semak claim, masa tamat tempoh, dan tandatangan tanpa meninggalkan pelayar anda atau menghantar data ke mana-mana.

Apakah Penyahkod JWT?

JWT (JSON Web Token) ialah cara standard yang digunakan oleh API web moden untuk mewakili claim pengesahan dan kebenaran. Ia adalah token ringkas dan berdikari yang terdiri daripada tiga bahagian — header yang menerangkan algoritma penandatanganan, payload yang membawa claim sebenar (seperti ID pengguna, peranan, dan tamat tempoh), dan tandatangan yang membolehkan pelayan penerima mengesahkan token tidak diubah.

Penyahkod ini membaca header dan payload serta-merta supaya anda boleh menyahpepijat isu pengesahan, menyemak claim sebenar yang dihantar oleh sesuatu API, atau menyemak bila token akan tamat tempoh — semuanya tanpa memerlukan backend, alat CLI, atau menampal token sensitif ke dalam pelayan pihak ketiga, kerana semuanya berjalan secara tempatan dalam pelayar anda.

Rumus

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Menyahkod: pisahkan pada ".", nyahkod base64Url dua bahagian pertama, huraikan sebagai JSON.

Mengesahkan (tidak dilakukan di sini): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Cara Mengira

Tampal JWT anda ke dalam kotak input, atau klik "Muat Contoh" untuk mencuba satu.
Header dan payload dinyahkod secara automatik semasa anda menaip.
Semak claim seperti iss, sub, exp, dan iat dalam bentuk yang mudah dibaca.
Claim cap masa (exp, iat, nbf) secara automatik ditukar kepada tarikh yang mudah dibaca.

Contoh

Token yang bermula dengan eyJhbGciOiJIUzI1NiJ9 dinyahkod kepada header {"alg":"HS256","typ":"JWT"} — memberitahu anda bahawa token ditandatangani dengan HMAC-SHA256.

Faedah Utama

Nyahkod mana-mana JWT dengan segera tanpa backend atau alat CLI
Semuanya berjalan di sisi klien — token tidak pernah dihantar ke pelayan
Secara automatik menukar claim cap masa kepada tarikh yang mudah dibaca
Percuma, tiada pendaftaran, berfungsi pada mana-mana JWT tanpa mengira algoritma

Kesilapan Biasa

Menganggap JWT yang dinyahkod adalah JWT yang disahkan — menyahkod hanya membaca kandungan, ia tidak mengesahkan ketulenan
Menyimpan data sensitif (kata laluan, rahsia) dalam payload, terlupa ia boleh dibaca oleh sesiapa sahaja
Menampal token produksi ke dalam penyahkod dalam talian yang tidak dipercayai
Mengelirukan 'exp' (tamat tempoh) dengan 'iat' (dikeluarkan pada) semasa menyahpepijat isu jangka hayat token

Tips Pro

Sentiasa semak 'exp' dahulu semasa menyahpepijat ralat "unauthorized" — token yang tamat tempoh adalah punca paling biasa
Bandingkan 'alg' dalam header dengan apa yang dijangka oleh backend anda untuk mengesan pepijat ketidakpadanan algoritma
Jangan sekali-kali percaya payload yang dinyahkod sebagai bukti identiti tanpa mengesahkan tandatangan di sisi pelayan
Gunakan token berjangka hayat pendek dengan refresh token dan bukannya JWT berjangka hayat panjang untuk mengehadkan pendedahan jika satu bocor

Istilah Utama

Claim: Sekeping maklumat yang dinyatakan tentang subjek, seperti ID pengguna atau peranan
Header: Segmen pertama JWT, menentukan algoritma penandatanganan dan jenis token
Payload: Segmen kedua JWT, mengandungi claim sebenar
Tandatangan: Segmen ketiga JWT, digunakan untuk mengesahkan token tidak diubah

Kegunaan Biasa

Menyahpepijat sebab API menolak token dengan menyemak claim-nya
Menyemak masa tamat tempoh token semasa siasatan sokongan
Mengesahkan pembekal SSO atau OAuth mengeluarkan claim yang dijangka
Mempelajari struktur JWT untuk persediaan temu duga atau kerja kursus
Menyemak dengan pantas token yang ditampal daripada alat pembangun pelayar atau log pelayan

Soalan Lazim

Apakah itu JWT?

JSON Web Token (JWT) ialah cara ringkas dan selamat-URL untuk mewakili claim antara dua pihak. Ia terdiri daripada tiga bahagian yang dikodkan Base64URL, dipisahkan oleh titik: header, payload, dan tandatangan.

Adakah selamat untuk menampal JWT saya ke dalam alat ini?

Penyahkodan berlaku sepenuhnya dalam pelayar anda menggunakan JavaScript — token tidak pernah dihantar ke mana-mana pelayan. Walaupun begitu, layan JWT seperti kata laluan: elakkan menampal token daripada sistem produksi ke dalam mana-mana alat dalam talian, termasuk yang ini.

Mengapa alat ini tidak boleh mengesahkan tandatangan?

Mengesahkan tandatangan JWT memerlukan kunci rahsia (untuk algoritma HMAC) atau kunci awam (untuk algoritma RSA/ECDSA) yang sepatutnya hanya dimiliki oleh pelayan pengeluar. Alat ini hanya menyahkod header dan payload yang boleh dibaca — ia tidak pernah mempunyai akses kepada kunci tersebut.

Apakah maksud claim 'exp'?

'exp' (Expiration Time) ialah cap masa Unix yang menunjukkan bila token berhenti sah. Alat ini secara automatik menukarnya kepada tarikh yang mudah dibaca supaya anda boleh menyemak dengan pantas sama ada token telah tamat tempoh.