Giải mã và xác minh JWT

Cách sử dụng Giải mã JWT

1. 1

   Dán token

   Dán JWT lấy từ header Authorization, cookie hoặc bộ nhớ của ứng dụng; tiền tố “Bearer ” ở đầu sẽ được bỏ qua.

2. 2

   Đọc các claim

   Xem bảng header và payload, thời gian exp, iat, nbf dễ đọc và biểu ngữ về thời hạn.

3. 3

   Thêm khóa

   Nhập khóa bí mật HMAC, hoặc dán khóa công khai dạng PEM, chứng chỉ, JWK hay JWKS.

4. 4

   Xác minh chữ ký

   Nhấn Xác minh chữ ký để xác nhận token được ký bằng khóa đó và chưa bị thay đổi.

Về Giải mã JWT

JSON Web Token (JWT) gồm ba chuỗi Base64URL nối với nhau bằng dấu chấm: header cho biết thuật toán ký, payload chứa các claim và chữ ký. Hãy dán token vào, có hoặc không có tiền tố “Bearer ”. Công cụ sẽ hiển thị header và payload dưới dạng bảng dễ đọc hoặc JSON đã định dạng, tô màu ba phần của token và giải thích các trường chuẩn như iss, sub, aud, kid và scope.

Các claim thời gian được tự động chuyển đổi: exp, iat, nbf và auth_time hiển thị theo múi giờ của bạn, theo UTC và dưới dạng thời gian tương đối (“hết hạn sau 2 giờ”, “đã hết hạn 3 ngày trước”). Một biểu ngữ cho biết ngay token đã hết hạn, chưa có hiệu lực hay không có thời hạn, đồng thời cảnh báo khi exp có vẻ tính bằng mili giây thay vì giây.

Giải mã không chứng minh được ai đã phát hành token, nên công cụ kiểm tra chữ ký bằng WebCrypto tích hợp sẵn trong trình duyệt. HS256, HS384 và HS512 cần khóa bí mật dùng chung (văn bản thường hoặc Base64). Các thuật toán RS, PS và ES ở mức 256, 384 và 512 bit, cùng EdDSA với Ed25519, cần khóa công khai. Bạn có thể dán khóa dạng PEM, khối RSA PUBLIC KEY, chứng chỉ X.509, một JWK hoặc cả JWKS, khi đó khóa được chọn theo kid của token.

Công cụ không giải mã được token JWE (loại có năm phần) và không tự tải URL JWKS. Hãy mở jwks_uri của nhà phát hành rồi dán JSON vào.

Tính năng

Giải mã JWT: câu hỏi thường gặp