JWT-dekoder
Læs headeren og payloaden i et token uden at sende det nogen steder hen.
- Kører i din browser — din tekst sendes aldrig nogen steder hen
- Ingen tilmelding, ingen kvoter, gratis at bruge så ofte, du vil
Sådan fungerer det
At indsætte et JWT på et websted er en virkelig dårlig vane: et aktivt token er en adgangsoplysning, og du har lige givet det til en tredjepart. Dette afkoder det på siden, så tokenet aldrig forlader din maskine.
Hvad et JWT indeholder
Tre Base64URL-segmenter adskilt af punktummer: en header, der angiver algoritmen, en payload med claims og en signatur. De to første er kodede, ikke krypterede – alle, der har tokenet, kan læse dem.
Signaturverificering er ikke afkodning
Dette viser, hvad tokenet siger. Det verificerer ikke, at signaturen er gyldig, fordi det kræver den hemmelige signeringsnøgle eller den offentlige nøgle. Et afkodet token beviser intet om ægthed.
Udløb
Hvis payloaden indeholder en udløbs-claim, vises den som en læsbar dato og markeres, hvis den allerede er passeret – som regel det, du ville finde ud af.
JWT-dekoder – spørgsmål
Verificerer det signaturen?
Nej. Verificering kræver signeringsnøglen. Dette afkoder og viser kun indholdet.
Bliver mit token sendt til en server?
Nej, og det er pointen. Et aktivt token er en adgangsoplysning og bør ikke indsættes i en ekstern tjeneste.
Hvorfor kan alle læse et JWT?
Headeren og payloaden er Base64-kodede, ikke krypterede. Signaturen forhindrer manipulation, ikke læsning.