Декодер JWT

Что делает декодер JWT

Декодер JWT разбивает JSON Web Token на три сегмента, разделённых точками, декодирует заголовок и payload из base64url и выводит эти JSON-объекты в удобном виде. Он полезен при отладке процессов входа, заголовков авторизации API, обратных вызовов OAuth, поведения обновления токенов и тестов, зависящих от claims, таких как subject, issuer, audience, время выдачи и время истечения срока действия.

Эта страница создана для повседневной работы разработчиков: быстрые проверки при отладке, подготовка небольших примеров для документации и очистка данных перед вставкой в редактор, терминал, задачу или тестовую фикстуру. Интерфейс держит ввод, элементы управления, результат и сообщение о состоянии рядом, поэтому результат легко проверить перед копированием.

Приватная работа в браузере

Вся обработка выполняется с помощью JavaScript в браузере. Инструмент не загружает ваши тексты, токены, URL, фрагменты или сгенерированные значения на сервер и не требует учётной записи. Такая модель конфиденциальности важна, потому что небольшие утилиты при устранении неполадок часто получают реальные ответы API, примеры конфигурации, журналы, данные аутентификации или примеры, похожие на клиентские данные. Локальная работа снижает риск и делает инструмент мгновенным, так как нет обмена по сети.

Практические советы

Декодирование токена — это не то же самое, что доверие к нему. Эта страница в браузере не знает вашего ключа подписи, правил издателя, публичного ключа или ожидаемой audience, поэтому не может проверить подпись. Используйте результат только как средство просмотра. Настоящие приложения должны проверять подписи и валидировать claims в надёжном серверном коде или коде аутентификации.

Всегда проверяйте преобразованный результат, прежде чем полагаться на него в production. Браузерные утилиты отлично подходят для проверки и подготовки, но не могут знать всех соглашений проекта и требований безопасности. Если результат будет закоммичен, опубликован или использован в процессе аутентификации, убедитесь, что он не содержит секретов и соответствует формату, которого ожидает ваше приложение.

Как читать декодированный результат

Стандартные claims, которые вы будете часто видеть: iss (издатель), sub (субъект), aud (аудитория), exp (истечение срока), nbf (недействителен до) и iat (время выдачи). Временные claims — это Unix-метки времени в секундах, и этот инструмент показывает их как необработанные числа, не преобразуя. Например, exp со значением 1767225600 означает 1 января 2026 года, 00:00 UTC. Умножьте на 1000, прежде чем передавать значение в JavaScript Date.

Декодер ожидает ровно три сегмента, разделённых точками; любая другая структура приводит к ошибке декодирования. Зашифрованные токены (JWE) имеют пять сегментов и не могут быть прочитаны без ключа, а сегмент, не являющийся корректным JSON в base64url, также вызовет ошибку. Удалите возможный префикс «Bearer», прежде чем вставлять токен. Сегмент подписи отображается как есть, только для справки. Относитесь к действующим токенам как к паролям: хотя здесь ничто не покидает ваш браузер, избегайте вставки production-токенов в инструменты, которым вы не доверяете, и публичного распространения декодированного результата.