Claim और Expiry जाँच के लिए JWT डिकोडर
header और payload डिकोड करके, exp और iat सामने लाकर और उन claims पर ध्यान देकर bearer tokens को तेज़ी से जाँचें जो अक्सर auth तोड़ते हैं।
यह गाइड असली auth failures को डीबग करने के लिए है। token डिकोड करें, claims पढ़ें और यह स्पष्ट रखें कि टूल क्या साबित कर सकता है और क्या नहीं।
इसे तब उपयोग करें जब
कोई API bearer token अस्वीकार कर रही हो और retry से पहले आपको header, claims या timestamps जाँचने हों।
पहले क्या जाँचें
पहले alg, exp, aud, scope और sub जाँचें क्योंकि यही अक्सर बताते हैं कि सही दिखने वाला token फिर भी क्यों विफल हो रहा है।
सामान्य गलती
डिकोडिंग यह दिखाती है कि token क्या कहता है। इससे यह साबित नहीं होता कि signature valid या trusted है।
सिर्फ raw token पेस्ट करें
अगर आपने Authorization header copy किया है, तो उसे decoder में पेस्ट करने से पहले Bearer prefix हटा दें।
Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
expired token पहचानें
जब auth failure intermittent या environment-specific लगे, तो पहले exp पर ध्यान दें।
{"sub":"user-123","exp":1712732400}
custom claims जाँचें
aud, scope और sub अक्सर authorization mismatches समझा देते हैं, भले ही token structure ठीक दिखे।
{"aud":"api://comutil","scope":"read:users write:users","sub":"user-123"}
segment structure जाँचें
JWT तीन Base64URL segments से बने होते हैं, इसलिए गलत punctuation या padding copy किए गए token को तोड़ सकती है।
header.payload.signature
clock drift के लिए exp और iat देखें, audience mismatches के लिए aud देखें, और missing permissions के लिए scope देखें। ये जाँचें request फिर से reproduce करने से अक्सर तेज़ होती हैं।
- जब exp या iat values जल्दी समझ में न आएँ, तो Unix Timestamp tool का उपयोग करें।
यह पेज token structure और claim contents पढ़ता है। यह signature verify नहीं करता, trust chains validate नहीं करता और न ही यह पुष्टि करता है कि token अपेक्षित signer ने जारी किया था।
- incident notes में सटीक रहें: decoded content उपयोगी evidence है, लेकिन यह verification के बराबर नहीं है।