Go Toolstack

Dekoder i debuger JWT

Dekoduj nagłówki, ładunki i weryfikuj sygnatury tokenów JSON Web Token bez ujawniania sekretów serwerom zewnętrznym.

Dekoder i debuger JWT

Dekoduj nagłówki, ładunki i weryfikuj sygnatury tokenów JSON Web Token bez ujawniania sekretów serwerom zewnętrznym.

Jak to działa?

1
Enter or Paste Text
Type or paste your text, code, or data directly into the input workspace.
2
Apply Transformation
Run the tool to convert, filter, format, or inspect your text content.
3
Copy Output
Copy the clean processed output to your clipboard with a single click.

Odkryj inne przydatne narzędzia w tej kategorii

Centrum Narzędzia Programistyczne • Przewodnik po procesach i porównaniu

Odkryj wszystkie narzędzia narzędzia programistyczne, limity przeglądarki i przewodnik doboru.

Poznaj centrum →
Formatowanie i walidator JSON

Formatuj, weryfikuj składnię i minifikuj dane JSON z precyzją 64-bit BigInt oraz walidacją reguł JSON Schema (Draft-07 / 2020-12).
Koder i dekoder Base64

Błyskawicznie koduj tekst do formatu Base64 lub dekoduj ciągi Base64 z powrotem do UTF-8 z obsługą wariantu URL-safe.
Formatowanie zapytań SQL

Uporządkuj i sformatuj skomplikowane zapytania SQL z czytelnym wcięciem dla MySQL, PostgreSQL, SQLite, MS SQL i Oracle.

Powiązane poradniki na blogu

Poradniki techniczne, rozwiązywanie problemów i wskazówki dobrych praktyk

Centrum narzędzi

Inspektor i dekoder JWT: Analiza nagłówków, ładunku claims i weryfikacja sygnatur

Format JSON Web Token (JWT) zdefiniowany w standardzie RFC 7519 to najpopularniejszy standard bezstanowego uwierzytelniania i autoryzacji w nowoczesnych architekturach REST API, OAuth 2.0 i OpenID Connect. Inspektor JWT w GoToolstack umożliwia natychmiastowe rozkodowanie trzech segmentów tokena (Header, Payload, Signature) z podziałem na czytelne obiekty JSON, automatycznym formatowaniem dat wygaśnięcia exp i rozpoczęcia ważności nbf w polskiej strefie czasowej oraz weryfikacją algorytmów kryptograficznych.

Narzędzie wyposażono w automatyczny wykrywacz niebezpiecznych anomalii konfiguracyjnych: alert o użyciu podatnego algorytmu alg: "none", ostrzeżenie o wygaśnięciu tokena (Expired Token) oraz opcjonalny weryfikator sygnatur HMAC-SHA256 (HS256) przy użyciu lokalnego klucza w pamięci RAM. Żadne tokeny ani klucze prywatne nie są nigdzie przesyłane.

Wzór i metoda obliczeń

Dekodowanie JWT = Base64URL_Decode(Header) . Base64URL_Decode(Payload) . Verify_Signature(Header.Payload, Key, Alg)

Rozbicie ciągu trójczłonowego wg separatora '.', konwersja ładunków JSON i weryfikacja kryptograficzna Web Crypto API.

Wskazówki i dobre praktyki

  • Nigdy nie umieszczaj haseł i poufnych danych w payloadzie JWT: Ładunek tokena nie jest szyfrowany — jest jedynie zakodowany w Base64URL i każdy może go odczytać.
  • Zawsze odrzucaj tokeny z algorytmem 'none': Zezwolenie na tokeny bez sygnatury to jedna z najgroźniejszych luk uwierzytelniania w protokołach OAuth.
  • Weryfikuj zarówno exp, jak i nbf oraz iss/aud: Sprawdzaj nie tylko termin ważności, ale także czy token został wystawiony przez Twojego zaufanego dostawcę tożsamości.
  • Używaj bezpiecznych narzędzi offline do inspekcji tokenów produkcyjnych: Wklejanie produkcyjnych tokenów sesyjnych do nieznanych narzędzi chmurowych grozi ich przechwyceniem.

Często zadawane pytania

Czy dekodowanie tokena JWT w tym narzędziu wymaga podania klucza tajnego?
Nie. Część nagłówkowa i ładunek (payload) są zakodowane standardowym Base64URL, więc można je odczytać bez znajomości klucza. Klucz potrzebny jest wyłącznie do weryfikacji podpisu.
Co oznacza błąd 'Token Expired'?
Oznacza, że znacznik czasu w polu 'exp' (expiration time) jest wcześniejszy niż aktualny czas systemowy. Serwer API powinien odrzucić taki token kodem 401 Unauthorized.
Czy wklejenie produkcyjnego tokena Bearer jest bezpieczne?
Tak, nasze narzędzie działa w 100% lokalnie w przeglądarce. Token nie jest rejestrowany ani wysyłany na żaden serwer zewnętrzny.
Czy narzędzie pozwala zweryfikować podpis tokenów RS256 / ES256?
Narzędzie parsuje metadane algorytmu nagłówka, a dla sygnatur HS256 umożliwia natychmiastowe sprawdzenie podpisu za pomocą klucza Web Crypto API.