JWT Decoder

Vad är en JWT (JSON Web Token)?

En JSON Web Token (JWT) är ett kompakt, URL-säkert tokenformat definierat i RFC 7519. Det kodar en uppsättning claims som ett JSON-objekt och signerar det sedan — och krypterar det valfritt — så att mottagaren kan verifiera att data inte har manipulerats. JWT är de facto-standard för tillståndslös autentisering i REST API:er, single sign-on-system och mikroservicebehörighet.

JWT-anatomi: Header · Payload · Signature

Varje JWT består av tre base64url-kodade segment separerade av punkter. Header och Payload är vanlig JSON — läsbar av vem som helst — medan Signature är ett kryptografiskt värde som bara kan verifieras med rätt nyckel.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Varför använda en JWT-avkodare?

Råa JWT ser ut som slumpmässig text. Det här verktyget renderar omedelbart Header och Payload som formaterad JSON så att du kan inspektera claims, kontrollera utgångstider och granska algoritmval utan att skriva en enda rad kod.

Referens för standard-JWT-claims

RFC 7519 definierar sju registrerade claimnamn. Dessa är inte obligatoriska, men deras användning rekommenderas starkt för interoperabilitet. Du kan lägga till anpassade claims i Payload.

JWT-signeringsalgoritmer

Header-claimen alg deklarerar vilken algoritm som signerade token. Valet påverkar säkerhet, prestanda och om tredjepartstjänster kan verifiera token utan den privata nyckeln.

Säkerhetsöverväganden

Att avkoda en JWT är alltid säkert. Att lita på en JWT utan korrekt signaturverifiering är det inte. Ha dessa regler i åtanke när du använder token i din applikation.

Vanliga användningsfall

Avkoda JWT i kod

Header och Payload är base64url-kodade — vänd bara på kodningen. Base64url ersätter + med - och / med _, och utelämnar = som utfyllnad. Bara Signature kräver den hemliga nyckeln.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Vanliga frågor