JWT Kod Çözücü

JWT (JSON Web Token) Nedir?

JSON Web Token (JWT), RFC 7519'da tanımlanan kompakt ve URL güvenli bir token formatıdır. Bir dizi claim'i JSON nesnesi olarak kodlar, ardından imzalar — ve isteğe bağlı olarak şifreler — böylece alıcı verilerin değiştirilmediğini doğrulayabilir. JWT'ler, REST API'lerde, tek oturum açma sistemlerinde ve mikro hizmet yetkilendirmesinde durumsuz kimlik doğrulamanın fiili standardıdır.

JWT Anatomisi: Header · Payload · Signature

Her JWT, noktalarla ayrılmış üç base64url kodlu segmentten oluşur. Header ve Payload sade JSON'dur — herkes tarafından okunabilir — Signature ise yalnızca doğru anahtar ile doğrulanabilen kriptografik bir değerdir.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Neden JWT Dekoder Kullanılır?

Ham JWT'ler rastgele metin gibi görünür. Bu araç, Header ve Payload'u anında biçimlendirilmiş JSON olarak gösterir; böylece tek bir kod satırı yazmadan claim'leri inceleyebilir, son kullanma sürelerini kontrol edebilir ve algoritma seçimlerini denetleyebilirsiniz.

Standart JWT Claim Referansı

RFC 7519, yedi kayıtlı claim adı tanımlar. Bunlar zorunlu değildir, ancak birlikte çalışabilirlik için kullanımları güçlü biçimde tavsiye edilir. Payload'a istediğiniz özel claim'leri ekleyebilirsiniz.

JWT İmzalama Algoritmaları

alg header claim'i, token'ı imzalayan algoritmayı bildirir. Seçim, güvenliği, performansı ve üçüncü taraf hizmetlerin özel anahtar olmadan token'ları doğrulayıp doğrulayamayacağını etkiler.

Güvenlik Değerlendirmeleri

Bir JWT'yi çözmek her zaman güvenlidir. Uygun imza doğrulaması olmadan bir JWT'ye güvenmek güvenli değildir. Uygulamanızda token tüketirken bu kuralları aklınızda bulundurun.

Yaygın Kullanım Senaryoları

Kodda JWT Çözme

Header ve Payload base64url kodludur — sadece kodlamayı tersine çevirin. Base64url, +'yı - ile, /'yi _ ile değiştirir ve = dolgusunu çıkarır. Yalnızca Signature gizli anahtara ihtiyaç duyar.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Sıkça Sorulan Sorular