Start JWT-Decoder
JWT-Decoder
Die Signatur wird nicht geprüft. Ablauf und alg: none werden extra gezeigt.
Einen Schlüssel eingeben, dann entsteht ein JWT.
Warum es das gibt
Ein Token an einer Anmeldeantwort lässt sich lesen, wen es nennt und wann es abläuft, allein aus Kopf und Nutzlast.
Auf demselben Bildschirm lässt sich ein Beispiel mit HS256, RS256 oder ES256 erzeugen und prüfen, ob die Form zu dem passt, was ein Client erwartet.
-
01So geht es
Ein Token in den Decoder einfügen. Es darf mit Bearer beginnen.
Im Encoder erzeugen ein Algorithmus, ein Schlüssel und eine JSON-Nutzlast ein Token.
-
02So sieht es aus
Ist iat, nbf oder exp eine Zahl, erscheint sie als Uhrzeit.
Liegt exp vor jetzt, wird es als abgelaufen markiert.
Eingabeheader.payload.signature
alg HS256 typ JWT -
03Gut zu wissen
RS und ES brauchen einen privaten PKCS#8-PEM-Schlüssel. Beispielschlüssel erzeugen macht einen in dieser Form.
Der Decoder prüft die Signatur nicht, deshalb ist der Inhalt auf dem Bildschirm kein Grund, dem Token zu vertrauen.
Fragen
- QPrüft es die Signatur?
- ANein. Es liest Kopf und Nutzlast und warnt, wenn die Signatur leer ist oder alg none ist.
- QDarf Bearer dabeistehen?
- AJa. Das führende Bearer und das Leerzeichen werden vor dem Lesen entfernt.
- QVerlässt das Token den Browser?
- ANein. Lesen und Signieren enden in diesem Browser.
Wie diese Seite rechnet
Diese Seite liest ein JSON Web Token, ohne die Signatur zu prüfen. Kopf und Nutzlast erscheinen als JSON.
Ein Geheimnis kann aus demselben Kopf und derselben Nutzlast ein neues HS256-Token bauen. Dieses neue Token beweist nicht, dass die Signatur eines älteren Tokens stimmte. Ist der Algorithmus none oder die Signatur leer, sagt die Seite das.
Ein Ablauf, wenn vorhanden, wird als Zahl gelesen und in der Zeitzone dieses Geräts gezeigt. Geheimnis und Token bleiben in diesem Browser. Nutze diese Seite nicht als Server, der das Token einer anderen Person prüft.