JWT Decoder

Что такое JWT (JSON Web Token)?

JSON Web Token (JWT) — это компактный формат токена, безопасный для URL, определённый в RFC 7519. Он кодирует набор claims как объект JSON, затем подписывает — и при необходимости шифрует — его, чтобы получатель мог убедиться в том, что данные не были изменены. JWT являются де-факто стандартом для безгражданской аутентификации в REST API, системах единого входа и авторизации микросервисов.

Структура JWT: Header · Payload · Подпись

Каждый JWT состоит из трёх сегментов в кодировке base64url, разделённых точками. Header и payload — это обычный JSON, доступный для чтения любому, тогда как подпись — это криптографическое значение, которое можно проверить только с помощью правильного ключа.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Зачем использовать декодер JWT?

Необработанные JWT выглядят как случайный текст. Этот инструмент мгновенно отображает header и payload в виде отформатированного JSON, чтобы можно было инспектировать claims, проверять сроки действия и анализировать выбор алгоритмов без написания единой строки кода.

Справочник стандартных claims JWT

RFC 7519 определяет семь зарегистрированных имён claims. Они не являются обязательными, но их использование настоятельно рекомендуется для совместимости. Вы можете добавлять любые пользовательские claims в payload.

Алгоритмы подписи JWT

Claim header alg объявляет, каким алгоритмом подписан токен. Выбор влияет на безопасность, производительность и возможность сторонних сервисов проверять токены без закрытого ключа.

Соображения безопасности

Декодирование JWT всегда безопасно. Доверие JWT без надлежащей проверки подписи — нет. Помните об этих правилах при работе с токенами в вашем приложении.

Распространённые случаи использования

Декодирование JWT в коде

Header и payload закодированы в base64url — просто обратите кодирование. Base64url заменяет + на - и / на _, и опускает набивку =. Только подпись требует секретного ключа.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Часто задаваемые вопросы