Kompaktowy JWT to trzy fragmenty tekstu oddzielone kropkami: nagłówek, payload i sygnatura. Nagłówek i payload to JSON zakodowany Base64URL. Każdy może je zdekodować. Sygnatura pozwala weryfikatorowi zdecydować, czy te bajty wyprodukował ktoś z kluczem.
Co pokazuje dekoder
Dekoder JWT wypisuje nagłówek, payload i surowy segment sygnatury. Ustawia signature_verified na false przy każdym wyniku. To nie jest awaria narzędzia. Strona nie ma klucza podpisującego i nie powinna udawać, że go sprawdziła.
Jeśli algorytm to none albo brakuje segmentu sygnatury, linia statusu mówi, że token nie jest uwierzytelniony. Nie wysyłaj tego tokena do API i nie oczekuj, że API mu zaufa.
Claims to dane, nie werdykt
exp, iss i aud warto przeczytać. Zobaczenie czasu wygaśnięcia nie oznacza, że token jest aktualny — sygnatura nie została sprawdzona, a zegar na tej stronie nie jest decyzją autoryzacyjną. Użyj weryfikatora w systemie, który trzyma klucz, gdy potrzebujesz tak lub nie.
Nie wklejaj produkcyjnego access tokena na współdzielonym komputerze. Dekoder działa lokalnie, ale urządzenie nadal może zapamiętać to, co wpisałeś.