Giải mã JWT

Dán bất kỳ JWT nào để giải mã ngay lập tức phần header và payload — kiểm tra các claim, thời gian hết hạn và chữ ký mà không cần rời khỏi trình duyệt hay gửi dữ liệu đi bất cứ đâu.

Giải mã JWT là gì?

JWT (JSON Web Token) là cách chuẩn mà các API web hiện đại dùng để biểu diễn các claim xác thực và ủy quyền. Đây là một token gọn nhẹ, tự chứa, gồm ba phần — một header mô tả thuật toán ký, một payload chứa các claim thực tế (như ID người dùng, vai trò và thời gian hết hạn), và một chữ ký giúp máy chủ nhận có thể xác minh token chưa bị giả mạo.

Công cụ giải mã này đọc header và payload ngay lập tức để bạn có thể gỡ lỗi các vấn đề xác thực, kiểm tra API thực sự gửi những claim gì, hoặc xem token hết hạn khi nào — tất cả mà không cần backend, công cụ dòng lệnh, hay dán các token nhạy cảm lên máy chủ bên thứ ba, vì mọi thứ chạy cục bộ trong trình duyệt của bạn.

Công Thức

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Giải mã: tách theo ".", giải mã Base64Url hai phần đầu, phân tích cú pháp thành JSON.

Xác minh (không thực hiện ở đây): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Cách Tính

Dán JWT của bạn vào ô nhập liệu, hoặc nhấn "Tải mẫu" để thử một token có sẵn.
Header và payload được giải mã tự động khi bạn gõ.
Xem lại các claim như iss, sub, exp và iat ở dạng dễ đọc.
Các claim thời gian (exp, iat, nbf) được tự động chuyển thành ngày tháng dễ đọc.

Ví Dụ

Một token bắt đầu bằng eyJhbGciOiJIUzI1NiJ9 giải mã thành header {"alg":"HS256","typ":"JWT"} — cho biết token được ký bằng HMAC-SHA256.

Lợi Ích Chính

Giải mã bất kỳ JWT nào ngay lập tức mà không cần backend hay công cụ dòng lệnh
Mọi thứ chạy phía client — token không bao giờ được gửi tới máy chủ
Tự động chuyển đổi các claim thời gian thành ngày tháng dễ đọc
Miễn phí, không cần đăng ký, hoạt động với mọi JWT bất kể thuật toán

Những Lỗi Thường Gặp Cần Tránh

Cho rằng một JWT đã giải mã là một JWT đã xác minh — giải mã chỉ đọc nội dung, không xác nhận tính xác thực
Lưu dữ liệu nhạy cảm (mật khẩu, bí mật) trong payload, quên rằng bất kỳ ai cũng có thể đọc được
Dán token sản xuất vào các trình giải mã trực tuyến không đáng tin cậy
Nhầm lẫn 'exp' (hết hạn) với 'iat' (thời điểm phát hành) khi gỡ lỗi vấn đề về thời hạn token

Mẹo Chuyên Nghiệp

Luôn kiểm tra 'exp' đầu tiên khi gỡ lỗi lỗi "unauthorized" — token hết hạn là nguyên nhân phổ biến nhất
Đối chiếu 'alg' trong header với những gì backend của bạn mong đợi để phát hiện lỗi không khớp thuật toán
Không bao giờ tin payload đã giải mã là bằng chứng danh tính nếu chưa xác minh chữ ký phía máy chủ
Dùng token ngắn hạn kèm refresh token thay vì JWT dài hạn để hạn chế rủi ro nếu bị rò rỉ

Các Thuật Ngữ Chính Được Giải Thích

Claim: một mẩu thông tin khẳng định về một chủ thể, như ID người dùng hoặc vai trò
Header: phân đoạn JWT đầu tiên, chỉ định thuật toán ký và loại token
Payload: phân đoạn JWT thứ hai, chứa các claim thực tế
Signature (chữ ký): phân đoạn JWT thứ ba, dùng để xác minh token chưa bị thay đổi

Trường Hợp Sử Dụng Phổ Biến

Gỡ lỗi lý do tại sao API từ chối một token bằng cách kiểm tra các claim của nó
Kiểm tra thời gian hết hạn của token trong quá trình xử lý yêu cầu hỗ trợ
Xác minh nhà cung cấp SSO hay OAuth có phát hành đúng các claim bạn mong đợi
Học cách JWT được cấu trúc để chuẩn bị phỏng vấn hoặc học tập
Nhanh chóng kiểm tra một token được dán từ công cụ dành cho nhà phát triển của trình duyệt hoặc log máy chủ

Câu Hỏi Thường Gặp

JWT là gì?

JSON Web Token (JWT) là một cách gọn nhẹ, an toàn với URL để biểu diễn các claim giữa hai bên. Nó gồm ba phần được mã hóa Base64URL, phân tách bằng dấu chấm: header, payload và chữ ký.

Dán JWT của tôi vào công cụ này có an toàn không?

Việc giải mã diễn ra hoàn toàn trong trình duyệt của bạn bằng JavaScript — token không bao giờ được gửi tới bất kỳ máy chủ nào. Tuy nhiên, hãy coi JWT như mật khẩu: tránh dán các token từ hệ thống sản xuất (production) vào bất kỳ công cụ trực tuyến nào, kể cả công cụ này.

Tại sao công cụ này không thể xác minh chữ ký?

Việc xác minh chữ ký của JWT cần khóa bí mật (với thuật toán HMAC) hoặc khóa công khai (với thuật toán RSA/ECDSA), thứ mà chỉ máy chủ phát hành mới nên có. Công cụ này chỉ giải mã header và payload dạng đọc được — nó không bao giờ có quyền truy cập vào khóa đó.

Claim 'exp' có ý nghĩa gì?

'exp' (Expiration Time) là một mốc thời gian Unix cho biết khi nào token ngừng hiệu lực. Công cụ này tự động chuyển đổi nó thành ngày tháng dễ đọc để bạn nhanh chóng kiểm tra token đã hết hạn hay chưa.