Decoder JWT

Come usarlo

Incolla un token con due o tre segmenti separati da punti. Decodifica mostra l’header JSON, il payload JSON e il segmento grezzo della firma. La riga di stato indica che la firma non è stata verificata.

Esempio

Il token di esempio si decodifica in header e payload. signature_verified resta false.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

Come funziona

Ogni segmento è Base64URL. Il primo deve essere un oggetto JSON. Il secondo deve essere JSON. Il terzo segmento viene mostrato e non verificato rispetto a un segreto o a una chiave pubblica. Un alg di none viene segnalato come non autenticato.

Errori comuni

• L’header non è un oggetto Il primo segmento è stato decodificato, ma non era un oggetto JSON.
• Non ci sono due o tre segmenti Un JWT compatto usa i punti come separatori. Punti in più di solito indicano un token troncato o incollato due volte.
• Ti aspettavi Valid Questa pagina non dichiara un token valido. Controllare una firma richiede una chiave ed è un’operazione diversa.

Limiti

Expiration, issuer e audience vengono mostrati se presenti. Non vengono trattati come superato o fallito. Il decoder non memorizza il token.

Privacy

Il token viene decodificato in locale. Non incollare un access token attivo se il dispositivo è condiviso. PepsTools non invia il token a un server.

Domande

Posso usare il risultato per autorizzare una richiesta?

No. L’autorizzazione richiede una firma verificata e controlli sui claim. Questo strumento solo decodifica.