JWT-декодер

Декодируйте заголовок и полезные данные JWT (JSON Web Token) и проверьте статус истечения срока действия.

JWT-токен
Руководство по рабочему процессу аутентификации/API

Работаете над сбоем токена-носителя? Воспользуйтесь руководством по сортировке заявок, а затем вернитесь сюда, чтобы проверить активный токен.

Прочтите руководство JWT Откройте центр аутентификации/API.
Инструмент кодирования/декодирования Base64
Перейдите к проверке необработанного сегмента Base64URL или кодированию/декодированию полезных данных учетных данных.
Руководство по базовой аутентификации Base64
Следуйте общему пути заголовка аутентификации.
Руководство по ответам JSON API
Далее перейдем к проверке полезной нагрузки.
Временная метка Unix
Перед ротацией токена проверьте exp, iat или nbf с помощью преобразования временной метки в дату.
Руководство по кодированию URL-адресов
Отследите поток OAuth в параметрах перенаправления.
Примеры пресетов
Действительная сессия Токен с истекшим сроком действия
Конфиденциальность и обмен
Серверная обработка Декодирование JWT отправляет токен в ComUtil, чтобы сервер мог анализировать утверждения, предупреждения и выходные данные, безопасные для совместного использования.
Чувствительный вход Декодированный токен по-прежнему является действующим удостоверением личности. Используйте токен с истекшим сроком действия или тестовый токен, когда вам нужно только проверить структуру утверждения.
Что такое JWT?

JSON Web Token (JWT) — это открытый стандарт (RFC 7519) для безопасной передачи информации между сторонами в виде объекта JSON. JWT можно подписать с использованием секретного (HMAC) или пары открытого/закрытого ключей (RSA/ECDSA). Они обычно используются для аутентификации и обмена информацией в веб-приложениях.

Структура JWT

JWT состоит из трех частей, разделенных точками: заголовок (тип алгоритма и токена), полезная нагрузка (утверждения/данные) и подпись (проверка). Каждая часть закодирована Base64Url. Подпись гарантирует, что токен не был подделан, но заголовок и полезные данные могут быть декодированы кем угодно.

Общие случаи использования
  • Аутентификация и авторизация пользователя
  • Системы единого входа (SSO)
  • API-аутентификация
  • Безопасный обмен информацией между сервисами
  • Управление сеансами без сохранения состояния
Стандартные претензии
iss Эмитент — кто создал и подписал токен.
sub Тема: кому принадлежит токен (обычно идентификатор пользователя)
aud Аудитория — предполагаемый получатель токена.
exp Срок действия — временная метка Unix, когда истекает срок действия токена.
iat Выпущено — временная метка Unix при создании токена.
Часто задаваемые вопросы

Зашифрованы ли JWT?

Стандартные JWT (JWS) подписаны, но не зашифрованы — любой может прочитать полезную нагрузку. Для зашифрованных токенов используйте JWE (веб-шифрование JSON). Никогда не храните конфиденциальные данные в обычных JWT.

Как сделать JWT недействительным?

JWT по своей сути не имеют состояния и не могут быть признаны недействительными напрямую. Общие стратегии включают короткие сроки действия, черные списки токенов или изменение ключа подписи (делает все токены недействительными).