Cara decode JWT
- Tempel token (awalan
Bearerakan dihapus secara otomatis). - Baca header dan payload hasil decode dalam format JSON yang rapi, lalu periksa tabel klaim untuk melihat tanggal kedaluwarsa dan tanggal terbit.
- Jika perlu, buka Verifikasi tanda tangan lalu masukkan secret HMAC atau kunci publik dalam format PEM.
Struktur sebuah JWT
JSON Web Token terdiri dari tiga bagian yang di-encode dengan Base64URL dan dipisahkan oleh titik: header.payload.signature. Header menyebutkan algoritma penandatanganan (misalnya HS256 atau RS256), payload berisi klaim, dan tanda tangan membuktikan bahwa dua bagian pertama tidak diubah.
Klaim terdaftar
iss– pihak yang menerbitkan tokensub– pengguna atau subjekaud– audiens yang ditujuexp,nbf,iat– waktu kedaluwarsa, mulai berlaku, dan waktu terbit dalam format Unix timestampjti– ID unik token
Pertanyaan yang sering diajukan
Apakah aman menempelkan token saya di sini?
Token di-decode di browser Anda dan tidak pernah dikirim ke mana pun. Meski begitu, perlakukan token aktif seperti kata sandi dan hindari membagikannya.
Apakah siapa pun bisa membaca payload JWT?
Ya. JWT yang ditandatangani hanya di-encode dengan Base64URL, bukan dienkripsi, jadi jangan pernah menaruh data rahasia di payload. Hanya token terenkripsi (JWE) yang menyembunyikan isinya.
Mengapa tanda tangan tidak diperiksa secara otomatis?
Verifikasi memerlukan secret atau kunci publik dari penerbit token. Masukkan di bagian Verifikasi tanda tangan; algoritma HS, RS, PS, dan ES didukung.