ถอดรหัส JWT

JWT (JSON Web Token) คืออะไร?

JSON Web Token (JWT) คือรูปแบบโทเค็นที่กระชับและปลอดภัยสำหรับ URL ซึ่งกำหนดไว้ใน RFC 7519 โดยจะเข้ารหัสชุด claims เป็นออบเจกต์ JSON จากนั้นลงนาม — และเข้ารหัสข้อมูลเพิ่มเติมตามต้องการ — เพื่อให้ผู้รับสามารถยืนยันได้ว่าข้อมูลไม่ถูกแก้ไข JWT เป็นมาตรฐานโดยพฤตินัยสำหรับการตรวจสอบตัวตนแบบไร้สถานะใน REST API ระบบ single sign-on และการอนุญาตไมโครเซอร์วิส

โครงสร้าง JWT: Header · Payload · Signature

JWT ทุกตัวประกอบด้วยสามส่วนที่เข้ารหัส base64url คั่นด้วยจุด Header และ Payload เป็น JSON ธรรมดา — ใครก็อ่านได้ — ในขณะที่ Signature เป็นค่าเข้ารหัสที่สามารถยืนยันได้ด้วยคีย์ที่ถูกต้องเท่านั้น

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

ทำไมต้องใช้ JWT Decoder?

JWT ดิบดูเหมือนข้อความสุ่ม เครื่องมือนี้แสดง Header และ Payload ในรูป JSON ที่จัดรูปแบบทันที เพื่อให้คุณตรวจสอบ claims ดูเวลาหมดอายุ และตรวจสอบการเลือกอัลกอริทึมโดยไม่ต้องเขียนโค้ดแม้แต่บรรทัดเดียว

การอ้างอิง JWT Claims มาตรฐาน

RFC 7519 กำหนดชื่อ claim ที่ลงทะเบียนไว้เจ็ดรายการ ไม่บังคับให้ใช้ แต่แนะนำอย่างยิ่งเพื่อให้สามารถทำงานร่วมกันได้ คุณสามารถเพิ่ม claim ที่กำหนดเองใน Payload ได้

อัลกอริทึมการลงนาม JWT

claim ส่วนหัว alg ประกาศว่าอัลกอริทึมใดลงนามโทเค็น การเลือกส่งผลต่อความปลอดภัย ประสิทธิภาพ และว่าบริการของบุคคลที่สามสามารถยืนยันโทเค็นโดยไม่มีคีย์ส่วนตัวหรือไม่

ข้อควรพิจารณาด้านความปลอดภัย

การถอดรหัส JWT ปลอดภัยเสมอ แต่การเชื่อถือ JWT โดยไม่ตรวจสอบลายเซ็นที่ถูกต้องนั้นไม่ปลอดภัย โปรดจำกฎเหล่านี้ทุกครั้งที่ใช้โทเค็นในแอปพลิเคชันของคุณ

กรณีการใช้งานทั่วไป

การถอดรหัส JWT ในโค้ด

Header และ Payload ถูกเข้ารหัส base64url เพียงแค่กลับการเข้ารหัส Base64url แทน + ด้วย - และ / ด้วย _ และไม่มีการเติม = เฉพาะ Signature เท่านั้นที่ต้องการคีย์ลับ

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

คำถามที่พบบ่อย