Handytool
ابزاربه‌صورت محلی اجرا می‌شود

کدگشای JWT

JSON Web Token‌ها را کدگشا کنید و header, payload و claim‌های آنها را بررسی کنید — همه در مرورگر شما, هرگز به سرور فرستاده نشود.

JWT
0 خط0 بایت
رمزگشایی‌شده
0 خط0 بایت

Handytool فقط header و payload را رمزگشایی می‌کند. امضاها باید در سرور با کلید صادرکننده تأیید شوند.

درباره کدگشای JWT

کدگشای JWT Handytool هر JSON Web Token را به header و payload آن کدگشا می‌کند, claim‌های استاندارد (iss, sub, aud, iat, exp, nbf) را برجسته می‌کند و نشان می‌دهد که توکن قبلاً منقضی شده‌است یا نه. زیرا کدگشا فقط به صورت محلی است, می‌توانید توکن‌های دسترسی واقعی و توکن‌های session را بچسبانید بدون آنکه آنها دستگاه شما را ترک کنند. هنگام اشکال‌یابی جریان احراز هویت, ادغام OAuth یا API‌های شخص ثالث که توکن‌های opacity را برگردانند مفید است.

ویژگی‌های کدگشای JWT

  • 01

    Header, payload و claim‌ها در یک نگاه

    کدگشا JWT شما را به سه قطعه تقسیم می‌کند، header و payload را به صورت JSON پرتاب می‌کند و claim‌های استاندارد — الگوریتم, موضوع, صادرکننده, مخاطب, صادرشده در, انقضا — را در خلاصه جمع‌و‌جور بالای خروجی raw نشان می‌دهد.

  • 02

    بررسی‌های انقضا و زمان

    claim exp به مهر زمان ISO ترجمه می‌شود و نسبت به ساعت کنونی خود به عنوان معتبر یا منقضی برچسب می‌شود. همان برای nbf (نه-قبل) و iat (صادرشده در). نه تبدیل‌های Unix-to-Date دستی.

  • 03

    کدگشا فقط — هرگز آپلود نشده

    توکن‌ها در مرورگر شما با استفاده از atob بومی کدگشا می‌شوند. چیزی هرگز به سرور فرستاده نمی‌شود. برای چسباندن JWT‌های production، توکن‌های دسترسی API یا کوکی‌های session هنگام اشکال‌یابی ایمن است.

سؤالات متداول درباره کدگشای JWT

JWT چیست؟
JSON Web Token یک فرمت توکن جمع‌و‌جور, ایمن برای URL است که از سه قطعه Base64URL-کدگذاری شده جدا شده توسط نقاط تشکیل می‌شود: header (الگوریتم و نوع), payload (claim‌ها) و امضا. JWT‌ها برای احراز هویت, مجاز, و دسترسی API کوتاه‌مدت گسترده‌ی استفاده می‌شوند.
آیا این کدگشا امضا را تایید می‌کند؟
نه. کدگشا فقط header و payload را کدگشا می‌کند تا نشان دهد چه داخل است. تایید امضا نیاز به مفتاح سری یا عمومی صادرکننده دارد, که باید در سرور شما بماند — هرگز آن را داخل ابزار web نگذارید. امضاها را در سمت server در برنامه خود تایید کنید.
آیا امن است که JWT واقعی را اینجا چسبانم؟
کدگشا کاملاً در مرورگر شما اتفاق می‌افتد — توکن هرگز منتقل نمی‌شود. با این حال, JWT‌ها رمزگذاری نشده‌اند (هر کسی با توکن می‌تواند claim‌ها را بخواند) بنابراین با آنها مانند رمزهای عبور رفتار کنید: آنها را به اشتراک نگذارید, انجام نمی‌دهید و اگر نشت کنند چرخش دهید.
چرا امضا نشان داده می‌شود اما تایید نمی‌شود؟
امضا نشان داده می‌شود تا شما بتوانید آن را با آنچه سرور شما در هنگام اشکال‌یابی تولید می‌کند مقایسه کنید. تایید واقعی نیاز به مفتاح امضا (HMAC سری یا RSA/EC مفتاح عمومی) دارد, که کدگشا به آن دسترسی ندارد و نباید.
"exp" چه معنی دارد؟
exp claim انقضا است — مهر زمان Unix پس از آن توکن باید رد شود. کدگشا آن را به مهر زمان ISO ترجمه می‌کند و برچسب سبز را نشان می‌دهد اگر هنوز در آینده است, یا برچسب قرمز اگر توکن قبلاً منقضی شده‌است.

ابزارهای مرتبط

ابزار →

کاوش در ابزارهای دیگر

همه ابزارها →