JWT-debuggeri / -purkaja

Liitä mikä tahansa JWT purkaakseen sen kolme pistettä erottavaa osaa — base64url-otsikko, hyötykuorma ja allekirjoitus näytetään kauniisti muotoiltuna JSONina, ja rekisteröidyt väitteet (exp, iat, nbf ja muut) muunnetaan paikalliseen aikaan. Allekirjoituksen voi sitten vahvistaa WebCrypto-rajapinnalla: HMAC (HS256/384/512) salaisuudella tai RSA/ECDSA (RS256/384/512, ES256/384/512) PEM-julkisella avaimella, ja HS256-esimerkkitunnus on yhden napsautuksen päässä kokeiluja varten. Kaikki toimii paikallisesti — tunnuksia, salaisuuksia ja avaimia ei koskaan lähetetä minnekään.
JWT-tunnus Muoto: otsikko.hyötykuorma.allekirjoitus (kolme base64url-osaa).
Purettu
Otsikko
Hyötykuorma
Allekirjoitus (raaka base64url-osa)
Varoitus: tämä tunnus ilmoittaa alg:none, mikä tarkoittaa, että se on allekirjoittamaton. Todellisten palveluiden on hylättävä allekirjoittamattomat tunnukset — käsittele sitä luotettavana pidettävänä.
Rekisteröidyt väitteet
VäiteArvoTulkinta
Vahvista allekirjoitus
Salaisuus
crypto.subtle ei ole käytettävissä tässä kontekstissa, joten allekirjoituksen vahvistus on pois käytöstä. Avaa sivu https:-osoitteen kautta tai paikallisena tiedostona, jotta se toimii. Purku toimii yhä.
Miten tulos luetaan: otsikko sisältää yleensä alg-kentän (allekirjoitusalgoritmi) ja typ-kentän. Rekisteröidyt väitteet, jotka näytetään paikallisajassa, ovat iat (myönnetty), nbf (ei ennen) ja exp (vanheneminen) — punainen merkki tarkoittaa, että tunnus on vanhentunut, keltainen, että se vanhenee 24 tunnin sisällä. Allekirjoituksen vahvistus laskee saman MAC-arvon kuin myöntäjä laskisi tai tarkistaa liittämäsi RSA/ECDSA-julkisen avaimen, ja merkitsee tunnuksen KELPAAVAKSI tai EPÄKELPOISEKSI. Vain selaimen WebCrypto-kerroksen toteuttamat algoritmit voidaan vahvistaa; muut ilmoitetaan tukemattomina eikä niitä arvata.

Yleiset rekisteröidyt väitteet: sub (aihe) on käyttäjä tai kokonaisuus, jota tunnus koskee — esimerkissäsi se on vain numeerinen tunnus, mutta palvelut laittavat siihen usein sähköpostin, käyttäjätunnuksen tai UUID:n. iss nimeää myöntäjän, aud aiotun yleisön ja jti on yksilöllinen tunnuksen tunniste, jota käytetään uusintahyökkäysten estämiseen. Nämä väitteet eivät ole salattuja; kuka tahansa tunnuksen haltija voi lukea ne, joten salasanoja tai salaisuuksia ei koskaan kannata laittaa JWT-hyötykuormaan.

Yksityisyys: purku ja vahvistus tapahtuvat kokonaan tällä sivulla WebCrypto-rajapinnalla — tunnusta, salaisuutta ja julkista avainta ei koskaan lähetetä. alg:none-tunnuksen kohdalla sivu näyttää selvän varoituksen: allekirjoittamattomia tunnuksia ei pidä koskaan hyväksyä todellisessa rajapinnassa.