Dekoder JWT

Czym jest JWT (JSON Web Token)?

JSON Web Token (JWT) to kompaktowy, bezpieczny dla URL format tokenu zdefiniowany w RFC 7519. Koduje zestaw claims jako obiekt JSON, a następnie podpisuje go — i opcjonalnie szyfruje — tak, aby odbiorca mógł zweryfikować, że dane nie zostały zmienione. JWT są de facto standardem bezstanowego uwierzytelniania w REST API, systemach logowania jednokrotnego i autoryzacji mikroserwisów.

Anatomia JWT: Header · Payload · Signature

Każdy JWT składa się z trzech segmentów zakodowanych w base64url, oddzielonych kropkami. Header i Payload to zwykły JSON — czytelny dla każdego — natomiast Signature to wartość kryptograficzna, którą można zweryfikować tylko przy użyciu właściwego klucza.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Po co używać dekodera JWT?

Surowe JWT wyglądają jak losowy tekst. To narzędzie natychmiast renderuje Header i Payload jako sformatowany JSON, dzięki czemu możesz sprawdzać claims, weryfikować czasy wygaśnięcia i audytować wybory algorytmów bez pisania ani jednej linii kodu.

Referencyjna lista standardowych claims JWT

RFC 7519 definiuje siedem zarejestrowanych nazw claims. Nie są one wymagane, ale ich użycie jest zdecydowanie zalecane dla interoperacyjności. Do Payload możesz dodać dowolne niestandardowe claims.

Algorytmy podpisu JWT

Claim nagłówka alg deklaruje, którym algorytmem podpisano token. Wybór wpływa na bezpieczeństwo, wydajność i to, czy usługi zewnętrzne mogą weryfikować tokeny bez klucza prywatnego.

Zagadnienia bezpieczeństwa

Dekodowanie JWT jest zawsze bezpieczne. Ufanie JWT bez właściwej weryfikacji podpisu już nie. Pamiętaj o tych zasadach za każdym razem, gdy używasz tokenów w swojej aplikacji.

Typowe przypadki użycia

Dekodowanie JWT w kodzie

Header i Payload są zakodowane w base64url — wystarczy odwrócić kodowanie. Base64url zastępuje + przez - i / przez _, pomijając wypełnienie =. Tylko Signature wymaga klucza tajnego.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Często zadawane pytania