Giải mã JWT

JWT (JSON Web Token) là gì?

JSON Web Token (JWT) là định dạng token nhỏ gọn, an toàn cho URL, được định nghĩa trong RFC 7519. Nó mã hóa một tập hợp các claim dưới dạng đối tượng JSON, sau đó ký — và tùy chọn mã hóa — để người nhận có thể xác minh dữ liệu không bị giả mạo. JWT là tiêu chuẩn thực tế cho xác thực không trạng thái trong REST API, hệ thống đăng nhập một lần và phân quyền microservice.

Cấu trúc JWT: Header · Payload · Signature

Mỗi JWT gồm ba đoạn mã hóa base64url ngăn cách bởi dấu chấm. Header và Payload là JSON thuần — ai cũng có thể đọc — trong khi Signature là giá trị mật mã chỉ có thể xác minh bằng khóa đúng.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Tại sao dùng JWT Decoder?

JWT thô trông như văn bản ngẫu nhiên. Công cụ này hiển thị ngay Header và Payload dưới dạng JSON có định dạng để bạn kiểm tra các claim, xem thời hạn hết hạn và kiểm tra lựa chọn thuật toán mà không cần viết một dòng code nào.

Tham chiếu các Claim JWT chuẩn

RFC 7519 định nghĩa bảy tên claim đã đăng ký. Chúng không bắt buộc, nhưng việc sử dụng được khuyến nghị mạnh mẽ để đảm bảo khả năng tương tác. Bạn có thể thêm bất kỳ claim tùy chỉnh nào vào Payload.

Thuật toán ký JWT

Claim header alg khai báo thuật toán nào đã ký token. Lựa chọn ảnh hưởng đến bảo mật, hiệu suất và liệu các dịch vụ bên thứ ba có thể xác minh token mà không cần khóa riêng tư hay không.

Cân nhắc về bảo mật

Giải mã JWT luôn an toàn. Tin tưởng JWT mà không xác minh chữ ký đúng cách thì không an toàn. Hãy ghi nhớ những quy tắc này mỗi khi bạn dùng token trong ứng dụng của mình.

Các trường hợp sử dụng phổ biến

Giải mã JWT trong code

Header và Payload được mã hóa base64url — chỉ cần đảo ngược mã hóa. Base64url thay + bằng - và / bằng _, và bỏ qua ký tự đệm =. Chỉ Signature mới cần khóa bí mật.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Câu hỏi thường gặp