JWT Decoder

Co je JWT (JSON Web Token)?

JSON Web Token (JWT) je kompaktní formát tokenu bezpečný pro URL, definovaný v RFC 7519. Kóduje sadu claims jako objekt JSON, který poté podepíše — a volitelně zašifruje — aby příjemce mohl ověřit, že data nebyla pozměněna. JWT jsou de facto standardem pro bezstavové ověřování v REST API, systémech jednotného přihlášení a autorizaci mikroslužeb.

Anatomie JWT: Header · Payload · Signature

Každý JWT se skládá ze tří segmentů kódovaných v base64url oddělených tečkami. Header a Payload jsou prostý JSON — čitelný pro kohokoliv — zatímco Signature je kryptografická hodnota, kterou lze ověřit pouze správným klíčem.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Proč používat dekodér JWT?

Surové JWT vypadají jako náhodný text. Tento nástroj okamžitě zobrazí Header a Payload jako formátovaný JSON, takže můžete zkoumat claims, kontrolovat časy expirace a auditovat volbu algoritmů bez napsání jediného řádku kódu.

Referenční přehled standardních JWT claims

RFC 7519 definuje sedm registrovaných názvů claims. Nejsou povinné, ale jejich použití je pro interoperabilitu silně doporučeno. Do Payload můžete přidat libovolné vlastní claims.

Podpisové algoritmy JWT

Claim záhlaví alg deklaruje, který algoritmus token podepsal. Výběr ovlivňuje bezpečnost, výkon a schopnost třetích stran ověřovat tokeny bez privátního klíče.

Bezpečnostní úvahy

Dekódování JWT je vždy bezpečné. Důvěřovat JWT bez řádného ověření podpisu bezpečné není. Mějte tato pravidla na paměti vždy, když ve své aplikaci spotřebováváte tokeny.

Typické případy použití

Dekódování JWT v kódu

Header a Payload jsou kódovány v base64url — stačí kódování obrátit. Base64url nahrazuje + za - a / za _, a vynechává výplň =. Pouze Signature potřebuje tajný klíč.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Nejčastější otázky