Giải mã JWT

Không. Công cụ chỉ giải mã base64url các phân đoạn header và payload để hiển thị nội dung của chúng dưới dạng JSON. Xác thực chữ ký yêu cầu khóa bí mật hoặc khóa công khai của người phát hành, thứ bạn không nên dán ở đây. Payload được giải mã trông hợp lệ vẫn có thể có chữ ký không hợp lệ; luôn xác thực chữ ký phía máy chủ bằng thư viện JWT đáng tin cậy.

Không. Việc giải mã là ba lệnh gọi tới atob (hoặc TextDecoder trên các byte thô) chạy hoàn toàn trong engine JavaScript của trình duyệt. Không có gì bạn dán ở đây rời tab trình duyệt. Đây là cách duy nhất an toàn để kiểm tra JWT chứa claim người dùng riêng tư: hoàn toàn cục bộ, không có yêu cầu mạng.

JWT có ba phân đoạn được mã hóa base64url phân tách bằng dấu chấm. Header xác định thuật toán dùng để ký token (ví dụ HS256 hoặc RS256). Payload chứa các claim: sự thật về chủ thể và metadata bổ sung (hết hạn, người phát hành, audience, claim tùy chỉnh). Chữ ký là giá trị mật mã học được tính từ header và payload bằng khóa của người phát hành; nó cho phép người nhận xác minh token không bị thay đổi.

Claim 'exp' là thời gian hết hạn của token, được biểu thị dưới dạng Unix timestamp (số giây nguyên kể từ 1 tháng 1 năm 1970 UTC). Nếu thời gian hiện tại lớn hơn 'exp', token đã hết hạn và nên bị từ chối bởi bất kỳ máy chủ nào xác thực nó. Công cụ này hiển thị giá trị số thô; bạn có thể chuyển đổi nó bằng công cụ timestamp trên trang này. Nhãn hết hạn hoặc còn hiệu lực so sánh con số đó với đồng hồ trên chính thiết bị của bạn, vì vậy một máy có giờ sai cũng sẽ đánh giá sai token. Đây chỉ là một chỉ dấu, không bao giờ thay thế cho máy chủ thực sự xác thực chữ ký.

Không. Token không trong suốt (đôi khi gọi là token tham chiếu) là chuỗi ngẫu nhiên không chứa dữ liệu người dùng; chúng phải được gửi đến endpoint kiểm tra nội tâm của người phát hành để lấy các claim liên quan. Công cụ này chỉ hoạt động với JWT tự chứa ở định dạng ba phần tiêu chuẩn.