Co ukazuje dekódování JWT
Podepsaný JSON Web Token v kompaktním zápisu má obvykle tři části oddělené tečkami: hlavičku, obsah a podpis. Tento nástroj čte první dvě části zakódované pomocí Base64url jako JSON v UTF-8, abyste viděli údaje v tokenu. Třetí část neověřuje. Převod kódování do čitelné podoby nedokazuje, kdo token vydal, zda jej někdo nezměnil ani zda jej server přijme. Hlavička může uvádět algoritmus a typ; obsah může zahrnovat vydavatele, publikum, subjekt a vlastní údaje aplikace. Všechna zobrazená tvrzení považujte za nedůvěryhodná, dokud aplikace neprovede úplné ověření. Vložený token zůstává v prohlížeči.
Časová pole exp, nbf a iat
Pole exp, nbf a iat používají NumericDate v sekundách od začátku unixové epochy. Číslo 2 000 000 000 znamená sekundy, nikoli milisekundy. Dekodér vedle původní číselné hodnoty ukáže čitelný čas v UTC. Pomáhá tak zjistit, zda token už vypršel, ještě nezačal platit nebo byl vydán v nečekaném čase. Zobrazené datum pouze interpretuje údaj z obsahu; nepotvrzuje platnost. Vložte ukázkový token a porovnejte exp s převodem. Když tvůrce omylem zapíše třináctimístný čas v milisekundách, datum bude nesmyslně daleko nebo mimo použitelný rozsah. Opravte zdroj údajů místo náhodného přepočítávání. Pro srovnání se serverovými logy používejte UTC.
Postup při hledání chyby
Použijte zkušební token z kontrolovaného vývojového prostředí. Zkontrolujte očekávaného vydavatele, publikum a subjekt a porovnejte exp a nbf s okamžikem neúspěšného požadavku. Vypadá-li obsah správně, ale server token odmítá, prozkoumejte ověřování podpisu, volbu klíče a pravidla aplikace na serveru. Samotný dekodér neví, zda měl být token přijat. Obsah je pouze zakódovaný, nikoli šifrovaný; každý držitel tokenu si může přečíst jména i soukromé údaje. Nedávejte skutečné přístupové tokeny do veřejných tiketů, obrázků, URL ani příkladů. Zpracování probíhá lokálně, ale zkopírování výsledku může údaje přesto zveřejnit.
Omezení a časté omyly
Šifrovaný pětidílný JWE není podepsaný třídílný token, který tato stránka zpracovává. Chybný Base64url, neplatné UTF-8 nebo hlavička JSON, která není objektem, se odmítnou místo tiché opravy. Nástroj nestahuje klíče, nekontroluje podpis JWS, nepovoluje algoritmy, nesrovnává očekávané publikum a neuplatňuje toleranci času. Tyto kroky patří správně nastavené ověřovací knihovně. Z dekódované role admin nevyvozujte oprávnění: změněný token ji může ukazovat i s neplatným podpisem. Nestačí ani budoucí exp; server může token odmítnout pro vydavatele, publikum, odvolání nebo další pravidla. Stránka slouží k pochopení struktury, nikoli k rozhodování o důvěře.