Giải mã JWT

Một JSON Web Token (JWT, RFC 7519) là token gọn nhẹ gồm ba phần ngăn cách bởi dấu chấm: header, payload và chữ ký. Header và payload chỉ là JSON được mã hóa Base64URL (RFC 7515); không phải bí mật, mà chỉ là cách viết an toàn khi truyền tải. Công cụ này tách các phần, giải mã ngược header và payload, rồi hiển thị JSON bên trong với thụt lề gọn gàng. Chỉ một cái nhìn là bạn thấy thuật toán nào được khai báo và token mang theo những thông tin (claim) nào.

Quan trọng và thành thật: công cụ này chỉ giải mã, nó không xác minh chữ ký. Xác minh thật sự cần bí mật hoặc khóa công khai của bên phát hành, điều mà công cụ này cố tình không bao giờ hỏi đến. Vì vậy một token đã giải mã chưa phải là token đáng tin cậy: nội dung có thể đã bị sửa đổi. Hãy dùng khung xem này để hiểu và gỡ lỗi (có những claim nào, exp hết hạn khi nào, iss là ai), đừng bao giờ coi đó là bằng chứng về tính xác thực.

Toàn bộ quá trình chạy hoàn toàn cục bộ trên trình duyệt bằng JavaScript thuần túy: token không được tải lên, không được lưu và không tải về thư viện lạ nào từ CDN. Điều này đặc biệt quan trọng với token, vì một access token hay ID token không nên nằm trong biểu mẫu trực tuyến của người khác. Nếu dữ liệu nhập không phải JWT hợp lệ, công cụ báo lỗi một cách thành thật thay vì bịa ra kết quả sai.

Thông số kỹ thuật

Trong 3 bước

1. Dán JWT vào ô văn bản.
2. Nhấp vào Giải mã.
3. Đọc hoặc tải header và payload dưới dạng JSON.

Giới hạn: Chỉ giải mã, không xác minh chữ ký: công cụ KHÔNG xác nhận rằng token là thật hay chưa bị thay đổi; việc đó cần khóa của bên phát hành. Nó cũng không kiểm tra token đã hết hạn hay chưa; chỉ hiển thị các claim. Token đã mã hóa (JWE) không được giải mã. Header và payload chỉ là Base64URL, không phải mã hóa; vì vậy đừng bao giờ đặt bí mật vào payload.

Câu hỏi thường gặp

Công cụ liên quan

• Mã hóa sang Base64
• Tính giá trị kiểm tra
• Trình tạo UUID