Ein kompaktes JWT besteht aus drei durch Punkte getrennten Textstücken: Header, Payload und Signatur. Header und Payload sind Base64URL-kodiertes JSON. Jeder kann sie dekodieren. Die Signatur lässt einen Verifier entscheiden, ob diese Bytes von jemandem mit dem Schlüssel erzeugt wurden.
Was der Decoder zeigt
Der JWT-Decoder gibt Header, Payload und das rohe Signatursegment aus. Er setzt signature_verified bei jedem Ergebnis auf false. Das ist kein Versagen des Tools. Die Seite hat den Signing Key nicht und sollte nicht so tun, als hätte sie einen geprüft.
Ist der Algorithmus none oder fehlt das Signatursegment, sagt die Statuszeile, dass das Token nicht authentifiziert ist. Senden Sie dieses Token nicht an eine API und erwarten Sie nicht, dass die API ihm vertraut.
Claims sind Daten, kein Urteil
exp, iss und aud sind nützlich zu lesen. Eine Ablaufzeit zu sehen bedeutet nicht, dass das Token aktuell ist — die Signatur wurde nicht geprüft und die Uhr auf dieser Seite ist keine Autorisierungsentscheidung. Nutzen Sie einen Verifier im System, das den Schlüssel hält, wenn Sie Ja oder Nein brauchen.
Fügen Sie kein Produktions-Access-Token in einen geteilten Computer ein. Der Decoder läuft lokal, aber das Gerät kann trotzdem speichern, was Sie getippt haben.