Asosiy qismga oʻtish

JWT ni dekodlash va tekshirish

JSON Web Token sarlavhasi va maydonlarini dekodlang, amal qilish muddatini koʻring va imzosini tekshiring; token brauzeringizdan hech qayerga chiqmaydi.

Shu oynada dekodlanadi va tekshiriladi — token va kalitlar hech qayerga yuborilmaydi.

Tokenni joylashtirsangiz, sarlavha, maydonlar va amal qilish muddati shu yerda chiqadi.
Brauzeringizda ishlaydi · yuklanmaydiQanday ishlaydi

JWT dekoder: foydalanish tartibi

  1. 1

    Tokenni joylashtiring

    JWT ni Authorization sarlavhasi, cookie yoki ilovangiz xotirasidan nusxalab qoʻying; boshidagi “Bearer ” hisobga olinmaydi.

  2. 2

    Maydonlarni oʻqing

    Sarlavha va payload jadvallarini, exp, iat va nbf ning oʻqiladigan vaqtlarini hamda muddat haqidagi xabarni koʻring.

  3. 3

    Kalitni qoʻshing

    HMAC maxfiy kalitini kiriting yoki ochiq kalitni PEM, sertifikat, JWK yoxud JWKS koʻrinishida joylashtiring.

  4. 4

    Imzoni tekshiring

    Token aynan shu kalit bilan imzolanganini va oʻzgartirilmaganini tasdiqlash uchun “Imzoni tekshirish”ni bosing.

Cheklovlar va Pro

Bepul, roʻyxatdan oʻtishsiz, tokenlar soniga cheklov yoʻq; tekshiruv 13 ta algoritmni qoʻllaydi (256, 384 va 512 bitli HS, RS, PS va ES hamda EdDSA).

Pro reklamani olib tashlaydi; dekodlash va tekshiruv barcha tariflarda bir xil. Pro tarifini koʻrish

JWT dekoder haqida

JSON Web Token nuqtalar bilan ulangan uchta Base64URL satridan iborat: imzolash algoritmini aytadigan sarlavha (header), maydonlar (claims) toʻplami boʻlgan payload va imzo. Tokenni “Bearer ” prefiksi bilan yoki usiz joylashtiring: dekoder sarlavha va payload ni oʻqiladigan jadval yoki chiroyli JSON koʻrinishida chiqaradi, tokenning uch qismini turli rangga boʻyaydi va iss, sub, aud, kid, scope kabi standart maydonlar nimani bildirishini tushuntiradi.

Vaqt maydonlari oʻzi oʻgiriladi: exp, iat, nbf va auth_time sizning vaqt mintaqangizdagi sana, UTC vaqti va nisbiy vaqt sifatida chiqadi (“2 soatdan keyin”, “3 kun oldin”). Yuqoridagi xabar tokenning muddati tugagani, hali kuchga kirmagani yoki muddatsizligini bir qarashda aytadi va exp soniya oʻrniga millisoniyada yozilganga oʻxshasa, ogohlantiradi.

Dekodlash token kim tomonidan berilganini isbotlamaydi, shuning uchun imzo brauzerga oʻrnatilgan WebCrypto bilan tekshiriladi. HS256, HS384 va HS512 uchun umumiy maxfiy kalit (oddiy matn yoki Base64) kerak. 256, 384 va 512 bitli RS, PS va ES algoritmlari hamda Ed25519 bilan EdDSA uchun ochiq kalit kerak: uni PEM ochiq kalit, RSA PUBLIC KEY bloki, X.509 sertifikat, bitta JWK yoki butun JWKS sifatida joylash mumkin, JWKS dan kalit token sarlavhasidagi kid boʻyicha tanlanadi.

Vosita JWE tokenlarini (besh qismli turini) ocha olmaydi va JWKS havolalarini oʻzi yuklamaydi: token beruvchining jwks_uri manzilini oʻzingiz ochib, JSON ni joylashtiring.

Maxfiylik

Token — egasiga kirish huquqini beradigan kalit, shuning uchun sahifa unga shunday munosabatda boʻladi: dekodlash va imzo tekshiruvi brauzeringizda WebCrypto bilan bajariladi, token, maxfiy kalit va ochiq kalitlar serverga yuborilmaydi, jurnalga yozilmaydi va saqlanmaydi. Oynani yopsangiz yoki yangilasangiz, hammasi oʻchadi.

Imkoniyatlar

Tushunarli vaqtlar

exp, iat va nbf vaqt mintaqangizda, UTC da va “2 soatdan keyin” yoki “3 kun oldin” koʻrinishida.

Haqiqiy imzo tekshiruvi

HMAC, RSA, RSA-PSS, ECDSA va Ed25519 kalitingiz yoki JWKS boʻyicha WebCrypto bilan tekshiriladi.

Token qurilmada qoladi

Hech narsa yuklanmaydi, shuning uchun production tokenlarini ham xavfsiz koʻrib chiqish mumkin.

JWT dekoder: koʻp beriladigan savollar

Bu yerga production tokenini joylash xavfsizmi?
Token oynangizda ishlaydigan JavaScript tomonidan dekodlanadi va tekshiriladi, uni oʻz ichiga olgan birorta soʻrov yuborilmaydi — buni brauzerning Network panelida tekshirishingiz mumkin. Shunday boʻlsa-da, amaldagi token muddati tugaguncha parol kabi ishlaydi, shuning uchun uni ishonmagan saytlarga joylamang, skrinshot ulashganda esa muddati oʻtgan yoki sinov tokenlaridan foydalaning.
Nega dekodlangan token hech narsani isbotlamaydi?
Har kim sarlavha va payload yozib, ularni Base64URL da kodlay oladi; dekodlash shunchaki buni ortga qaytaradi. Tokenni beruvchiga faqat imzo bogʻlaydi. Biror maydonga ishonishdan oldin imzoni beruvchining ochiq kaliti yoki umumiy maxfiy kalit bilan tekshiring va alg serveringiz kutgan qiymat ekaniga ishonch hosil qiling: “none” yoki almashtirilgan algoritmni qabul qilish — klassik zaiflik.
RS256 yoki ES256 tokenini tekshirish uchun ochiq kalitni qayerdan topaman?
Identifikatsiya provayderlari kalitlarini JWK Set sifatida eʼlon qiladi. Beruvchining /.well-known/openid-configuration manzilini oching, unda koʻrsatilgan jwks_uri ni ochib, JSON ni shu yerga joylang; kid qiymati token sarlavhasiga mos kalit ishlatiladi. PEM ochiq kalitni yoki beruvchining X.509 sertifikatini ham joylashingiz mumkin.
exp, iat va nbf nimani bildiradi?
Bular 1970-yil 1-yanvar UTC dan beri oʻtgan soniyalarda yoziladigan NumericDate maydonlari. exp — token amal qilishdan toʻxtaydigan vaqt, iat — u berilgan vaqt, nbf esa uni qabul qilish mumkin boʻlgan eng erta vaqt. Serverlar odatda soatlar farqi uchun bir-ikki daqiqa erkinlik qoldiradi. Dekoder har birini mahalliy sana, UTC vaqti va nisbiy vaqt sifatida koʻrsatadi.
Nega toʻgʻri HMAC kaliti bilan ham tekshiruv oʻtmayapti?
Koʻp uchraydigan sabablar: kalit bilan birga nusxalangan boʻsh joylar, token imzolanganda Base64 da kodlangan kalit yoki sarlavha yoxud payload baytlarini oʻzgartirib yuborgan vosita orqali qayta kodlangan token. “Kalit Base64 da kodlangan” tugmasini sinab koʻring. Dastlabki ikki qismdagi har qanday oʻzgarish, hatto JSON kalitlari tartibining almashishi ham imzoni yaroqsiz qiladi.

Oʻxshash vositalar

Barcha dasturchilar uchun vositalar

Base64 va URL kodlovchi

Base64, URL va HTML entity kodlash va dekodlash

Xesh generatori

Matn va fayllar uchun MD5, SHA-1, SHA-256, SHA-512

JSON formatlovchi va validator

JSON ni formatlash, siqish va xato maslahatlari bilan tekshirish

Unix vaqt konvertori

Epoch vaqtini sanaga va ortga, istalgan vaqt mintaqasida