コンパクトなJWTは、ドットで区切られた3つのテキスト片です。ヘッダー、ペイロード、署名です。ヘッダーとペイロードはBase64URLエンコードされたJSONで、誰でもデコードできます。署名は、鍵を持つ者がそれらのバイトを作ったかを検証者が判断するためのものです。
デコーダが表示するもの
JWTデコーダ はヘッダー、ペイロード、生の署名セグメントを表示します。毎回 signature_verified を false にします。それはツールの失敗ではありません。このページには署名鍵がなく、確認したかのように振る舞うべきでもありません。
アルゴリズムが none の場合、または署名セグメントがない場合、ステータス行はトークンが認証されていないと示します。そのトークンをAPIに送り、信頼されることを期待しないでください。
クレームはデータであり、判定ではない
exp、iss、aud は読む価値があります。有効期限が見えても、トークンが現在有効だとは限りません。署名は未確認で、このページの時計は認可の判断ではないからです。はい／いいえが必要なときは、鍵を持つシステム側の検証器を使ってください。
本番のアクセストークンを共有PCに貼らないでください。デコーダはローカルで動きますが、使っている端末は入力内容を覚えていることがあります。