Giải mã JWT
Dán JSON Web Token để đọc nội dung, kiểm tra xem token đã hết hạn chưa và xác minh chữ ký.
Đã niêm phong trên thiết bị này
Chạy ngay trong trình duyệt. Không có gì được tải lên.
Đã niêm phong
Việc giải mã và xác minh diễn ra trên thiết bị này. Token không bao giờ được gửi đi đâu cả.
Đã giải mã
Header, payload và các mốc thời gian của token sẽ hiện ở đây.
Header
Payload
Claim đăng ký
Xác minh chữ ký (không bắt buộc)
Hãy giải mã token trước. Thuật toán của token cho biết cần loại khóa nào.
PEM (-----BEGIN PUBLIC KEY-----) hoặc JWK dạng JSON. Đừng bao giờ dán khóa riêng vào một website bạn không tin tưởng.
Cách hoạt động
-
Dán token
Dán JWT từ header Authorization, cookie hoặc log của bạn. Chữ “Bearer” ở đầu sẽ được bỏ qua.
-
Đọc nội dung
Header và payload được hiển thị dưới dạng JSON đã định dạng, với exp, iat và nbf được đổi thành ngày theo múi giờ của bạn.
-
Xác minh nếu cần
Nhập khóa bí mật dùng chung hoặc dán khóa công khai để xác nhận chữ ký, mà token không hề rời khỏi thiết bị của bạn.
Câu hỏi thường gặp
Dán token thật vào đây có an toàn không?
Token được giải mã và xác minh trong trình duyệt và không bao giờ được gửi đến máy chủ nào. Dù vậy, token giống như một mật khẩu tạm thời: tránh chia sẻ, và hãy thu hồi nếu nó đã bị lộ ở nơi khác.
Ai cũng đọc được nội dung của JWT sao?
Đúng vậy. JWT có chữ ký tiêu chuẩn chỉ được mã hóa Base64url, không được mã hóa bảo mật, nên ai có nó cũng đọc được payload. Chữ ký chỉ chứng minh rằng không ai đã sửa đổi nó. Đừng bao giờ đặt thông tin bí mật trong payload JWT.
Tại sao công cụ báo token của tôi đã hết hạn?
Claim exp chứa thời điểm hết hạn, tính bằng giây kể từ ngày 1 tháng 1 năm 1970 (UTC). Nếu thời điểm đó đã qua theo đồng hồ của thiết bị, token đã hết hạn và máy chủ nên từ chối nó.
Những loại chữ ký nào có thể xác minh?
HMAC (HS256, HS384, HS512) với khóa bí mật dùng chung, cùng RSA (RS256–512, PS256–512) và đường cong elliptic (ES256, ES384, ES512) với khóa công khai định dạng PEM hoặc JWK. Việc xác minh dùng Web Crypto có sẵn trong trình duyệt của bạn.
iss, sub và aud nghĩa là gì?
Đó là các claim tiêu chuẩn: iss là bên phát hành token, sub là đối tượng mà token nói đến (thường là ID người dùng), và aud là bên mà token được dành cho. Các trường khác trong payload là riêng của ứng dụng đã tạo ra token.