Как декодировать JWT
- Вставьте токен (префикс
Bearerв начале удаляется автоматически). - Изучите декодированные заголовок и полезную нагрузку в виде отформатированного JSON, а в таблице утверждений проверьте срок действия и дату выдачи.
- При необходимости откройте Проверить подпись и введите секрет HMAC или открытый ключ в формате PEM.
Как устроен JWT
JSON Web Token состоит из трёх частей в кодировке Base64URL, разделённых точками: header.payload.signature. В заголовке указан алгоритм подписи (например, HS256 или RS256), полезная нагрузка содержит утверждения (claims), а подпись подтверждает, что первые две части не изменялись.
Стандартные утверждения (claims)
iss— кто выпустил токенsub— пользователь или субъектaud— для кого предназначен токенexp,nbf,iat— время истечения, начала действия и выдачи в формате Unix timestampjti— уникальный идентификатор токена
Часто задаваемые вопросы
Безопасно ли вставлять сюда мой токен?
Токен декодируется в вашем браузере и никуда не отправляется. И всё же обращайтесь с действующими токенами как с паролями и не передавайте их посторонним.
Может ли кто угодно прочитать полезную нагрузку JWT?
Да. Подписанный JWT лишь закодирован в Base64URL, но не зашифрован, поэтому никогда не храните в полезной нагрузке секреты. Содержимое скрывают только зашифрованные токены (JWE).
Почему подпись не проверяется автоматически?
Для проверки нужен секретный или открытый ключ издателя. Введите его в разделе «Проверить подпись» — поддерживаются алгоритмы HS, RS, PS и ES.