署名が正しいか見てくれますか?

見ません。ヘッダーとペイロードを読み、署名が空か alg が none なら警告します。

Bearer を付けてもよいですか?

よいです。先頭の Bearer と空白を外してから読みます。

行きません。読み取りと署名はこのブラウザの中で終わります。

ホーム JWT デコーダー

署名は確認しません。期限と alg: none は別に示します。

トークン

ヘッダー

ペイロード

署名

ログイン応答についているトークンが誰のもので、いつ期限切れかを、ヘッダーとペイロードだけで見られます。

同じ画面で HS256、RS256、ES256 の見本を作り、クライアントが待つ形かどうか確認できます。

01使い方

デコーダーにトークンを貼ります。Bearer で始まっても構いません。

エンコーダーではアルゴリズム、キー、JSON ペイロードからトークンを作ります。
02出力例

iat、nbf、exp が数字なら時刻で示します。

exp が今より前なら期限切れと出します。

入力header.payload.signature

alg HS256

typ JWT
03知っておくこと

RS と ES には PKCS#8 PEM の秘密鍵が要ります。サンプルキーを作るとその形の鍵ができます。

デコーダーは署名を調べないので、画面の内容だけでトークンを信じてはいけません。

alg	HS256
typ	JWT

JSON Web Token を署名の検査なしで読みます。ヘッダーとペイロードを JSON で示します。

同じヘッダーとペイロードに秘密を入れて HS256 のトークンを新しく作れます。新しく作ったトークンは、以前のトークンの署名が正しい証拠ではありません。アルゴリズムが none だったり署名が空だったりすると、そのことを書きます。

期限の数値があれば、この機器の時間帯で日付を添えます。秘密とトークンはこのブラウザの中だけです。他人のトークンを検証するサーバーとして使わないでください。