JWT ringkas adalah tiga potongan teks dipisah titik: header, payload, dan tanda tangan. Header dan payload adalah JSON yang dienkode Base64URL. Siapa pun bisa mendekodenya. Tanda tangan memungkinkan verifier memutuskan apakah byte itu dibuat oleh pemegang kunci.
Apa yang ditampilkan decoder
Decoder JWT mencetak header, payload, dan segmen tanda tangan mentah. Ia menetapkan signature_verified ke false pada setiap hasil. Itu bukan kegagalan alat. Halaman tidak punya kunci penandatanganan, dan tidak boleh berpura-pura sudah memeriksanya.
Jika algoritmanya none, atau segmen tanda tangan hilang, baris status menyatakan token tidak terautentikasi. Jangan kirim token itu ke API dan mengharapkan API mempercayainya.
Claim adalah data, bukan putusan
exp, iss, dan aud berguna dibaca. Melihat waktu kedaluwarsa tidak berarti token masih berlaku, karena tanda tangan tidak diperiksa dan jam di halaman ini bukan keputusan otorisasi. Pakai verifier di sistem yang memegang kunci saat Anda butuh ya atau tidak.
Jangan tempel token akses produksi di komputer bersama. Decoder berjalan lokal, tetapi perangkat yang Anda pakai masih bisa mengingat apa yang Anda ketik.