ตัวถอดรหัส JWT

คำถามที่พบบ่อย

ปลอดภัยไหมที่จะวางโทเคนของระบบจริงที่นี่?

โทเคนอยู่ในเบราว์เซอร์ของคุณ — หน้านี้ไม่ส่งคำขอเครือข่ายใด ๆ ที่มีข้อมูลของคุณ ซึ่งคุณยืนยันได้ในแท็บ Network ของเครื่องมือนักพัฒนา ถึงกระนั้น จงเคยชินกับการปฏิบัติต่อโทเคนที่ยังใช้งานอยู่เหมือนรหัสผ่าน: หากต้องแชร์ภาพหน้าจอ ให้ใช้โทเคนที่หมดอายุแล้วหรือโทเคนทดสอบ

ทำไมโทเคนของฉันถอดรหัสไม่ได้?

ตรวจดูว่ามีสามส่วนคั่นด้วยจุดพอดี และไม่มีการขึ้นบรรทัดใหม่จากการคัดลอกที่ตัดคำ โทเคนแบบทึบ (เช่นโทเคนของ GitHub หรือ Google จำนวนมาก) ไม่ใช่ JWT เลย — ไม่มีการถอดรหัสใดเปิดสตริงสุ่มที่ไม่เคยมี JSON อยู่ข้างในได้

iat, exp และ nbf หมายถึงอะไร?

เป็นเคลมมาตรฐานจาก RFC 7519 ทั้งหมดเป็นวินาทีแบบ unix: iat คือเวลาที่ออกโทเคน exp คือเวลาที่มันหมดความถูกต้อง และ nbf (“not before”) คือช่วงเวลาแรกสุดที่ยอมรับมันได้ เครื่องมือนี้แปลงแต่ละค่าเป็นวันที่ที่อ่านได้และเทียบ exp กับนาฬิกาของคุณ

เครื่องมือนี้ตรวจสอบลายเซ็นได้ไหม?

ไม่ได้ — และเครื่องหมายถูกสีเขียวจากเครื่องมือออนไลน์ก็ไม่ควรถูกใช้ตัดสินใจเรื่องความปลอดภัยอยู่แล้ว จงตรวจลายเซ็นในระบบหลังบ้านด้วยไลบรารีที่ยังมีการดูแล (jose, jsonwebtoken, PyJWT) เทียบกับกุญแจจริงของผู้ออกโทเคน