JWT-dekoder
Les hodet og nyttelasten i et token uten å sende det noe sted.
- Kjører i nettleseren din — teksten din sendes aldri noe sted
- Ingen registrering, ingen kvoter, gratis å bruke så ofte du vil
Slik fungerer det
Å lime inn en JWT på et nettsted er en virkelig dårlig vane: et aktivt token er legitimasjon, og du har nettopp gitt det til en tredjepart. Dette dekoder det på siden, så tokenet aldri forlater maskinen din.
Hva en JWT inneholder
Tre Base64URL-segmenter atskilt med punktum: et hode som navngir algoritmen, en nyttelast med påstander (claims) og en signatur. De to første er kodet, ikke kryptert – alle som har tokenet kan lese dem.
Signaturverifisering er ikke dekoding
Dette viser hva tokenet sier. Det verifiserer ikke at signaturen er gyldig, fordi det krever signeringshemmeligheten eller den offentlige nøkkelen. Et dekodet token beviser ingenting om ekthet.
Utløp
Når nyttelasten har en utløpspåstand, vises den som en lesbar dato og markeres hvis den allerede er passert – som regel det du ville finne ut.
JWT-dekoder – spørsmål
Verifiserer dette signaturen?
Nei. Verifisering krever signeringsnøkkelen. Dette dekoder og viser bare innholdet.
Sendes tokenet mitt til en server?
Nei, og det er poenget. Et aktivt token er legitimasjon og bør ikke limes inn i en ekstern tjeneste.
Hvorfor kan hvem som helst lese en JWT?
Hodet og nyttelasten er Base64-kodet, ikke kryptert. Signaturen hindrer manipulering, ikke lesing.