Een compacte JWT bestaat uit drie tekststukken gescheiden door punten: een header, een payload en een handtekening. Header en payload zijn Base64URL-gecodeerde JSON. Iedereen kan ze decoderen. De handtekening laat een verifier beslissen of die bytes zijn gemaakt door iemand die de sleutel heeft.
Wat de decoder toont
De JWT-decoder toont de header, de payload en het ruwe handtekeningsegment. Hij zet signature_verified op elke uitslag op false. Dat is geen falen van de tool. De pagina heeft de ondertekeningssleutel niet, en moet niet doen alsof die is gecontroleerd.
Als het algoritme none is, of het handtekeningsegment ontbreekt, zegt de statusregel dat het token niet is geauthenticeerd. Stuur dat token niet naar een API en verwacht niet dat de API het vertrouwt.
Claims zijn gegevens, geen oordeel
exp, iss en aud zijn nuttig om te lezen. Een vervaltijd zien betekent niet dat het token actueel is, omdat de handtekening niet is gecontroleerd en de klok op deze pagina geen autorisatiebeslissing is. Gebruik een verifier in het systeem dat de sleutel heeft wanneer je een ja of nee nodig hebt.
Plak geen productie-accesstoken op een gedeelde computer. De decoder draait lokaal, maar het apparaat dat je gebruikt kan nog steeds onthouden wat je hebt getypt.