Penyahkod JWT
JWT terdiri daripada tiga bahagian yang dipisahkan titik: pengepala, muatan dan tandatangan. Alat ini menyahkod pengepala dan muatan serta memaparkan exp, iat dan nbf dalam UTC dan waktu tempatan. Ia tidak mengesahkan tandatangan.
Cara guna
- Tampal token ke dalam kotak. Bearer di hadapan, petikan dan baris baharu diabaikan.
- Baca pengepala dan muatan sebagai JSON yang diformat. Tekan Salin untuk menyalin mana-mana satu.
- Semak lencana dan tuntutan masa. exp, iat dan nbf dipaparkan dalam UTC dan waktu tempatan anda, beserta berapa lama dahulu atau berapa lama lagi.
- Tiada token? Tekan Muatkan contoh untuk mencuba yang direka.
Cara kiraan
JWT terdiri daripada tiga bahagian yang dipisahkan titik: pengepala, muatan dan tandatangan. Pengepala dan muatan ialah teks JSON yang dikodkan sebagai base64url, iaitu base64 dengan - dan _ sebagai ganti + dan /, tanpa lapik =. Alat ini membalikkan pengekodan itu, membaca bait sebagai UTF-8 dan mencetak JSON dengan inden.
exp, iat dan nbf ialah bilangan saat sejak 1 Januari 1970 UTC. exp ialah masa token tamat, iat ialah masa ia dikeluarkan, dan nbf ialah masa paling awal ia sah. Lencana mengikut peraturan piawai: token tamat apabila masa semasa sama dengan atau selepas exp, dan belum sah apabila masa semasa sebelum nbf. Jam peranti anda digunakan untuk masa kini.
Tandatangan dipaparkan sebagai teks mentah daripada token. Alat ini tidak mengesahkannya. Penyahkodan hanya memerlukan token, tetapi menyemak tandatangan memerlukan kunci rahsia atau awam, dan hanya pelayan anda yang patut melakukannya.
Tuntutan yang biasa
| Tuntutan | Maksud |
|---|---|
| iss | Pengeluar: siapa yang mencipta token |
| sub | Subjek: tentang siapa token ini, selalunya ID pengguna |
| aud | Hadirin: untuk siapa token ini dimaksudkan |
| exp | Masa tamat, dalam saat sejak 1970 UTC |
| nbf | Tidak sebelum: token tidak sah lebih awal daripada ini |
| iat | Dikeluarkan pada: bila token dicipta |
| jti | ID token: pengecam unik untuk token ini |
Soalan lazim
Adakah ini mengesahkan tandatangan?
Tidak. Ia hanya menyahkod pengepala dan muatan. Sesiapa boleh menyahkod JWT, dan sesiapa boleh menulis satu dengan sebarang kandungan, jadi jangan sekali-kali mempercayai token hanya kerana ia dapat dinyahkod. Sahkan tandatangan pada pelayan anda dengan kunci yang betul.
Adakah token saya dihantar ke mana-mana?
Tidak. Penyahkodan berjalan dalam pelayar anda dan tiada apa-apa dimuat naik. Walau begitu, layan token sebenar seperti kata laluan: jangan tampal token pengeluaran yang masih aktif ke dalam alat yang anda tidak percayai.
Mengapa ia menyatakan Tamat tempoh sedangkan token berfungsi seminit yang lalu?
Lencana membandingkan exp dengan jam pada peranti ini. Jika jam peranti anda salah atau pelayan membenarkan sedikit perbezaan jam, kedua-duanya boleh tidak sepadan untuk seketika.
Apakah maksud alg none?
Ia menandakan token tidak selamat tanpa tandatangan. Pelayan mesti menolaknya melainkan ia sengaja menerima token tanpa tandatangan, yang jarang berlaku. Alat ini menunjukkan amaran apabila melihatnya.
Adakah muatan disulitkan?
Tidak. JWT bertandatangan biasa hanya dikodkan, jadi sesiapa yang memegangnya boleh membaca muatan. Jangan letak rahsia di dalamnya. Token tersulit (JWE) mempunyai lima bahagian dan tidak boleh dibaca oleh alat ini.