ตัวถอดรหัส JWT

วาง JWT ใดก็ได้เพื่อถอดรหัส header และ payload ได้ทันที — ตรวจสอบ claims เวลาหมดอายุ และลายเซ็น โดยไม่ต้องออกจากเบราว์เซอร์หรือส่งข้อมูลไปที่ใดเลย

ตัวถอดรหัส JWT คืออะไร?

JWT (JSON Web Token) เป็นวิธีมาตรฐานที่ API เว็บสมัยใหม่ใช้แสดง claims สำหรับการยืนยันตัวตนและการอนุญาต เป็นโทเคนที่กระชับและครบในตัว ประกอบด้วยสามส่วน — header ที่อธิบายอัลกอริทึมการเซ็น payload ที่บรรจุ claims จริง (เช่น user ID บทบาท และเวลาหมดอายุ) และ signature ที่ช่วยให้เซิร์ฟเวอร์ผู้รับตรวจสอบได้ว่าโทเคนไม่ถูกปลอมแปลง

ตัวถอดรหัสนี้อ่าน header และ payload ได้ทันที เพื่อให้คุณสามารถแก้ไขปัญหาการยืนยันตัวตน ตรวจสอบว่า API ส่ง claims อะไรมาจริงๆ หรือตรวจสอบว่าโทเคนหมดอายุเมื่อไร — ทั้งหมดนี้โดยไม่ต้องใช้แบ็กเอนด์ เครื่องมือบรรทัดคำสั่ง หรือการวางโทเคนที่ละเอียดอ่อนลงในเซิร์ฟเวอร์ของบุคคลที่สาม เนื่องจากทุกอย่างทำงานในเบราว์เซอร์ของคุณเอง

สูตร

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

การถอดรหัส: แยกด้วย "." ถอดรหัส base64Url ของสองส่วนแรก แล้วแปลงเป็น JSON

การตรวจสอบ (ไม่ได้ทำในที่นี้): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

วิธีคำนวณ

วาง JWT ของคุณลงในช่องป้อนข้อมูล หรือคลิก "โหลดตัวอย่าง" เพื่อลองใช้
header และ payload จะถูกถอดรหัสโดยอัตโนมัติขณะที่คุณพิมพ์
ตรวจสอบ claims เช่น iss, sub, exp และ iat ในรูปแบบที่อ่านได้ง่าย
claims ประเภทเวลา (exp, iat, nbf) จะถูกแปลงเป็นวันที่ที่อ่านได้โดยอัตโนมัติ

ตัวอย่าง

โทเคนที่ขึ้นต้นด้วย eyJhbGciOiJIUzI1NiJ9 จะถอดรหัสเป็น header {"alg":"HS256","typ":"JWT"} — บอกว่าโทเคนนี้เซ็นด้วย HMAC-SHA256

ประโยชน์หลัก

ถอดรหัส JWT ใดก็ได้ทันทีโดยไม่ต้องมีแบ็กเอนด์หรือเครื่องมือบรรทัดคำสั่ง
ทุกอย่างทำงานฝั่งไคลเอนต์ — โทเคนจะไม่ถูกส่งไปยังเซิร์ฟเวอร์เลย
แปลง claims ประเภทเวลาเป็นวันที่ที่อ่านได้โดยอัตโนมัติ
ใช้งานฟรี ไม่ต้องสมัครสมาชิก ใช้งานได้กับ JWT ทุกแบบไม่ว่าจะใช้อัลกอริทึมใด

ข้อผิดพลาดที่พบบ่อย

สันนิษฐานว่า JWT ที่ถอดรหัสแล้วคือ JWT ที่ผ่านการตรวจสอบแล้ว — การถอดรหัสเป็นเพียงการอ่านเนื้อหา ไม่ได้ยืนยันความถูกต้องแท้จริง
เก็บข้อมูลที่ละเอียดอ่อน (รหัสผ่าน คีย์ลับ) ไว้ใน payload โดยลืมไปว่าใครก็อ่านได้
วางโทเคนจากระบบจริงลงในตัวถอดรหัสออนไลน์ที่ไม่น่าเชื่อถือ
สับสนระหว่าง 'exp' (เวลาหมดอายุ) กับ 'iat' (เวลาที่ออกโทเคน) เมื่อแก้ไขปัญหาอายุการใช้งานของโทเคน

เคล็ดลับ

ตรวจสอบ 'exp' ก่อนเสมอเมื่อแก้ไขปัญหา "unauthorized" — โทเคนที่หมดอายุคือสาเหตุที่พบบ่อยที่สุด
เทียบ 'alg' ใน header กับสิ่งที่แบ็กเอนด์ของคุณคาดหวัง เพื่อตรวจจับข้อผิดพลาดจากอัลกอริทึมไม่ตรงกัน
อย่าเชื่อ payload ที่ถอดรหัสแล้วว่าเป็นหลักฐานยืนยันตัวตนโดยไม่ตรวจสอบลายเซ็นที่ฝั่งเซิร์ฟเวอร์
ใช้โทเคนอายุสั้นร่วมกับ refresh token แทนที่จะใช้ JWT อายุยาว เพื่อลดความเสียหายหากรั่วไหล

คำศัพท์สำคัญ

Claim: ข้อมูลที่ยืนยันเกี่ยวกับผู้ใช้ เช่น user ID หรือบทบาท
Header: ส่วนแรกของ JWT ระบุอัลกอริทึมการเซ็นและประเภทของโทเคน
Payload: ส่วนที่สองของ JWT ที่บรรจุ claims จริง
Signature: ส่วนที่สามของ JWT ใช้ตรวจสอบว่าโทเคนไม่ถูกเปลี่ยนแปลง

กรณีใช้งานทั่วไป

แก้ไขปัญหาว่าทำไม API จึงปฏิเสธโทเคน โดยการตรวจสอบ claims ของมัน
ตรวจสอบเวลาหมดอายุของโทเคนระหว่างการตรวจสอบปัญหาสนับสนุน
ยืนยันว่าผู้ให้บริการ SSO หรือ OAuth ออก claims ตามที่คาดไว้
เรียนรู้โครงสร้างของ JWT เพื่อเตรียมสัมภาษณ์งานหรือการเรียน
ตรวจสอบโทเคนที่คัดลอกจากเครื่องมือนักพัฒนาของเบราว์เซอร์หรือบันทึกของเซิร์ฟเวอร์ได้อย่างรวดเร็ว

คำถามที่พบบ่อย

JWT คืออะไร?

JSON Web Token (JWT) เป็นวิธีที่กระชับและปลอดภัยสำหรับ URL ในการแสดง claims ระหว่างสองฝ่าย ประกอบด้วยสามส่วนที่เข้ารหัส Base64URL คั่นด้วยจุด ได้แก่ header, payload และ signature

การวาง JWT ลงในเครื่องมือนี้ปลอดภัยหรือไม่?

การถอดรหัสเกิดขึ้นทั้งหมดในเบราว์เซอร์ของคุณโดยใช้ JavaScript — โทเคนจะไม่ถูกส่งไปยังเซิร์ฟเวอร์ใดเลย อย่างไรก็ตาม ควรปฏิบัติกับ JWT เหมือนรหัสผ่าน หลีกเลี่ยงการวางโทเคนจากระบบจริงลงในเครื่องมือออนไลน์ใดๆ รวมถึงเครื่องมือนี้ด้วย

ทำไมเครื่องมือนี้จึงตรวจสอบลายเซ็นไม่ได้?

การตรวจสอบลายเซ็นของ JWT ต้องใช้คีย์ลับ (สำหรับอัลกอริทึม HMAC) หรือคีย์สาธารณะ (สำหรับอัลกอริทึม RSA/ECDSA) ซึ่งมีเพียงเซิร์ฟเวอร์ผู้ออกโทเคนเท่านั้นที่ควรมี เครื่องมือนี้ทำได้เพียงถอดรหัส header และ payload ที่อ่านได้เท่านั้น — ไม่มีสิทธิ์เข้าถึงคีย์นั้นเลย

claim 'exp' หมายถึงอะไร?

'exp' (Expiration Time) คือ Unix timestamp ที่บ่งบอกเวลาที่โทเคนจะหมดอายุ เครื่องมือนี้จะแปลงค่านี้เป็นวันที่ที่อ่านได้โดยอัตโนมัติ เพื่อให้คุณตรวจสอบได้อย่างรวดเร็วว่าโทเคนหมดอายุแล้วหรือยัง