JWT-Decoder

So geht’s

Ein Token mit zwei oder drei durch Punkte getrennten Segmenten einfügen. Dekodieren zeigt den JSON-Header, den JSON-Payload und das rohe Signatursegment. Die Statuszeile sagt, dass die Signatur nicht verifiziert wurde.

Beispiel

Das Beispiel-Token dekodiert zu Header und Payload. signature_verified bleibt false.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

So funktioniert es

Jedes Segment ist Base64URL. Das erste muss ein JSON-Objekt sein. Das zweite muss JSON sein. Das dritte Segment wird angezeigt und nicht gegen ein Geheimnis oder einen öffentlichen Schlüssel geprüft. Ein alg von none wird als unauthentifiziert ausgewiesen.

Häufige Fehler

• Der Header ist kein Objekt Das erste Segment wurde dekodiert, war aber kein JSON-Objekt.
• Es gibt nicht zwei oder drei Segmente Ein kompaktes JWT verwendet Punkte als Trenner. Extra-Punkte bedeuten meist, dass das Token abgeschnitten oder zweimal eingefügt wurde.
• Sie erwarteten Valid Diese Seite erklärt ein Token nicht für gültig. Eine Signaturprüfung braucht einen Schlüssel und ist ein anderer Vorgang.

Einschränkungen

Expiration-, Issuer- und Audience-Claims werden angezeigt, wenn vorhanden. Sie werden nicht als Bestanden oder Fehlgeschlagen behandelt. Der Decoder speichert das Token nicht.

Datenschutz

Das Token wird lokal dekodiert. Fügen Sie kein aktives Access-Token ein, wenn das Gerät geteilt wird. PepsTools sendet das Token nicht an einen Server.

Fragen

Kann ich das Ergebnis zur Autorisierung einer Anfrage verwenden?

Nein. Autorisierung braucht eine geprüfte Signatur und Claim-Prüfungen. Dieses Werkzeug dekodiert nur.