JWT Decoder

Що таке JWT (JSON Web Token)?

JSON Web Token (JWT) — це компактний, URL-безпечний формат токена, визначений у RFC 7519. Він кодує набір claims як об'єкт JSON, а потім підписує — і за потреби шифрує — його, щоб одержувач міг переконатись у тому, що дані не були змінені. JWT є де-факто стандартом для автентифікації без стану в REST API, системах єдиного входу та авторизації мікросервісів.

Структура JWT: Header · Payload · Signature

Кожен JWT складається з трьох сегментів у кодуванні base64url, розділених крапками. Header і Payload — це звичайний JSON, доступний для читання будь-ким, тоді як Signature — криптографічне значення, яке можна перевірити лише правильним ключем.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Навіщо використовувати декодер JWT?

Необроблені JWT виглядають як випадковий текст. Цей інструмент миттєво відображає Header і Payload у вигляді відформатованого JSON, щоб ви могли перевіряти claims, переглядати терміни дії та аналізувати вибір алгоритмів без написання жодного рядка коду.

Довідник стандартних claims JWT

RFC 7519 визначає сім зареєстрованих імен claims. Вони не є обов'язковими, але їхнє використання настійно рекомендується для сумісності. Ви можете додавати будь-які власні claims до Payload.

Алгоритми підпису JWT

Claim заголовка alg оголошує, яким алгоритмом підписаний токен. Вибір впливає на безпеку, продуктивність і можливість сторонніх сервісів перевіряти токени без приватного ключа.

Міркування безпеки

Декодування JWT завжди є безпечним. Довіряти JWT без належної перевірки підпису — ні. Пам'ятайте ці правила щоразу, коли використовуєте токени у своєму застосунку.

Поширені випадки використання

Декодування JWT у коді

Header і Payload закодовані у base64url — просто зверніть кодування. Base64url замінює + на - і / на _, та опускає набивку =. Лише Signature потребує секретного ключа.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Часті запитання