Декодер JWT

Как пользоваться

Вставьте токен с двумя или тремя сегментами через точки. «Декодировать» показывает JSON-заголовок, JSON-нагрузку и сырой сегмент подписи. В строке статуса указано, что подпись не проверялась.

Пример

Пример токена декодируется в заголовок и полезную нагрузку. signature_verified остаётся false.

Ввод

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

Результат

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

Как это работает

Каждый сегмент — Base64URL. Первый должен быть JSON-объектом. Второй — JSON. Третий сегмент показывается и не проверяется секретом или открытым ключом. Значение alg none отмечается как без аутентификации.

Частые ошибки

Заголовок не объект Первый сегмент декодировался, но это не JSON-объект.
Не два и не три сегмента Компактный JWT разделяется точками. Лишние точки обычно означают обрезку или двойную вставку.
Ожидали статус Valid Страница не утверждает, что токен действителен. Проверка подписи требует ключ и является другой операцией.

Ограничения

Claims expiration, issuer и audience показываются, если есть. Они не трактуются как pass/fail. Декодер не сохраняет токен.

Конфиденциальность

Токен декодируется локально. Не вставляйте действующий access-токен, если устройством пользуются другие. PepsTools не отправляет токен на сервер.

Вопросы

Можно ли использовать результат для авторизации запроса?

Нет. Авторизация требует проверенной подписи и проверки claims. Этот инструмент только декодирует.