Декодер JWT

Как пользоваться

1. Вставьте токен в поле JWT. Он состоит из трёх частей, разделённых точками.
2. Прочитайте Алгоритм подписи, чтобы увидеть, как токен заявляет о своей подписи.
3. Проверьте Срок действия. Зелёный цвет означает, что токен ещё действителен по времени на вашем устройстве.
4. Прочитайте Утверждения и Полезная нагрузка, чтобы увидеть, для кого токен и что он содержит.

Что содержит JWT

JSON Web Token состоит из трёх частей, разделённых точками. Первые две — объекты JSON в кодировке base64url: заголовок говорит, как подписан токен, а полезная нагрузка содержит утверждения, то есть сведения, например, для кого токен и когда он истекает. Третья часть — подпись.

RFC 7519 определяет семь зарегистрированных имён утверждений: iss, sub, aud, exp, nbf, iat и jti. В таблице объясняется каждое из них, а три временных утверждения показаны также как даты на вашем языке.

Декодирование — это не проверка

Эта страница только декодирует токен. Она не проверяет подпись, потому что для этого нужен ключ, которым подписан токен, а ключ проверки — секрет. Декодированный токен всё равно можно подделать, поэтому не доверяйте утверждению только потому, что можете его прочитать здесь.

Чтобы проверить токен, ваш сервер или библиотека должны проверить подпись правильным ключом и ожидаемым алгоритмом и отклонить токен, у которого подпись неверна.

Как читается срок действия

Утверждение exp — это число секунд с 1 января 1970 года, 00:00 UTC. RFC 7519, раздел 4.1.4, говорит, что токен не должен приниматься в этот момент и позже, поэтому в точный момент он уже считается истёкшим.

Токен без утверждения exp не истекает никогда. Страница показывает это красным, потому что токен, который никогда не истекает, — риск, о котором стоит знать.

Частые вопросы