Čo ukáže dekódovanie JWT
Podpísaný JSON Web Token v kompaktnom zápise má zvyčajne tri časti oddelené bodkami: hlavičku, obsah a podpis. Tento nástroj prečíta prvé dve časti zakódované pomocou Base64url ako JSON v UTF-8, aby ste videli údaje uložené v tokene. Tretiu časť neoveruje. Vrátenie kódovania do čitateľnej podoby nedokazuje, kto token vydal, či ho niekto nezmenil ani či ho server prijme. Hlavička môže uvádzať algoritmus a typ, obsah môže zahŕňať vydavateľa, publikum, subjekt a vlastné položky aplikácie. Všetky zobrazené tvrdenia považujte za nedôveryhodné, kým aplikácia nevykoná úplné overenie. Vstup zostáva v prehliadači.
Časové položky exp, nbf a iat
Položky exp, nbf a iat používajú čas NumericDate v sekundách od začiatku unixovej epochy. Číslo 2 000 000 000 znamená sekundy, nie milisekundy. Dekodér zobrazí vedľa pôvodného čísla zrozumiteľný dátum v UTC. To pomáha pri zisťovaní, či token už expiroval, ešte nezačal platiť alebo má neočakávaný čas vydania. Zobrazený dátum iba vykladá údaj z obsahu; nie je výsledkom kontroly platnosti. Vložte vzorový token a porovnajte exp s dátumom. Ak tvorca omylom zapíše trinásťciferný čas v milisekundách, dátum bude nepravdepodobne ďaleko alebo mimo použiteľného rozsahu. Opravte zdroj údajov a pri porovnávaní so záznamami používajte UTC.
Postup pri hľadaní chyby
Použite testovací token z kontrolovaného vývojového prostredia. Prezrite si očakávaného vydavateľa, publikum a subjekt a porovnajte exp a nbf s časom neúspešnej požiadavky. Ak obsah vyzerá správne, no server token odmieta, skúmajte overenie podpisu, výber kľúča a pravidlá aplikácie na serveri. Samotný dekodér nevie rozhodnúť, či ho server mal prijať. Obsah je iba kódovaný, nie šifrovaný; každý držiteľ tokenu si môže prečítať mená či súkromné údaje. Nedávajte skutočné prístupové tokeny do verejných hlásení, snímok obrazovky, adries URL ani ukážok. Aj skopírovanie lokálneho výsledku je samostatné zverejnenie údajov.
Hranice a časté omyly
Šifrovaný päťdielny JWE nie je podpísaný trojdielny token, ktorý tento nástroj spracúva. Nesprávny Base64url, neplatné UTF-8 alebo hlavička JSON, ktorá nie je objektom, sa odmietnu namiesto tichej opravy. Stránka nesťahuje kľúče, neoveruje podpis JWS, nepovoľuje ani nezakazuje algoritmy, nekontroluje očakávané publikum a neuplatňuje časovú toleranciu. Tieto úlohy patrí zveriť správne nastavenej knižnici na overenie. Z dekódovanej roly admin nevyvodzujte oprávnenie: zmenený token ju môže zobrazovať aj s neplatným podpisom. Nestačí ani budúci čas exp; vydavateľ, publikum, odvolanie a iné pravidlá môžu spôsobiť odmietnutie.