ถอดรหัส JWT
ดูเนื้อหา header และ payload ของ JSON Web Token (ไม่ตรวจลายเซ็น)
ถอดรหัสเพื่อดูข้อมูลเท่านั้น ไม่ได้ตรวจสอบลายเซ็น · ประมวลผลในเบราว์เซอร์
เกี่ยวกับเครื่องมือนี้
เครื่องมือ ถอดรหัส JWT ช่วยให้คุณเปิดดูเนื้อหาภายใน JSON Web Token ได้อย่างรวดเร็ว เพียงวางโทเคนลงไป ก็จะเห็นทั้งส่วน header และ payload ในรูปแบบ JSON ที่อ่านง่าย เหมาะกับนักพัฒนาที่ทำงานกับระบบ authentication และต้องการตรวจสอบว่าในโทเคนมี claim อะไรบ้าง
JWT ประกอบด้วยสามส่วนคั่นด้วยจุด ได้แก่ header, payload และ signature ทั้ง header และ payload ถูกเข้ารหัสแบบ Base64URL ซึ่งไม่ใช่การเข้ารหัสลับ จึงสามารถอ่านได้ทันทีที่ถอดออกมา เครื่องมือ decode jwt นี้จัดการให้คุณโดยอัตโนมัติ ทำให้เห็นข้อมูลอย่าง อัลกอริทึมที่ใช้ ผู้ใช้ (sub) เวลาออกโทเคน (iat) และเวลาหมดอายุ (exp)
สิ่งสำคัญที่ต้องเข้าใจคือ เครื่องมือนี้ ถอดรหัสและแสดงผลเท่านั้น ไม่ได้ตรวจสอบลายเซ็น การยืนยันว่าโทเคนถูกต้องและไม่ถูกแก้ไขต้องใช้ secret หรือ public key ตรวจสอบฝั่งเซิร์ฟเวอร์ ซึ่งอยู่นอกขอบเขตของการถอดดูเนื้อหา
- ดู header เพื่อรู้อัลกอริทึม เช่น HS256 หรือ RS256
- ดู payload เพื่อตรวจ claim มาตรฐานและ claim ที่กำหนดเอง
- ตรวจ exp ว่าโทเคนหมดอายุหรือยัง
เพราะ payload ของ json web token อ่านได้ง่าย จึงไม่ควรเก็บข้อมูลลับไว้ในนั้น เครื่องมือนี้ทำงานในเบราว์เซอร์ของคุณทั้งหมด โทเคนของคุณไม่ถูกส่งออกไปไหน ใช้ฟรี และไม่ต้องสมัครสมาชิก
วิธีใช้งาน
- 1วาง JWT (JSON Web Token) ทั้งสามส่วนที่คั่นด้วยจุด ลงในช่องป้อนข้อมูล
- 2ระบบจะถอดและแสดงส่วน header ให้เห็นอัลกอริทึมและชนิดของโทเคน
- 3ดูส่วน payload เพื่อตรวจ claim ต่าง ๆ เช่น sub, exp, iat
- 4อ่านค่าที่ถอดออกมาในรูปแบบ JSON ที่จัดวางให้อ่านง่าย
- 5ตรวจสอบเวลาหมดอายุ (exp) เพื่อดูว่าโทเคนยังใช้งานได้อยู่หรือไม่
คำถามที่พบบ่อย
- เครื่องมือนี้ตรวจสอบลายเซ็น (signature) ของ JWT ด้วยไหม
- ไม่ เครื่องมือนี้เพียงถอดและแสดง header กับ payload เท่านั้น ไม่ได้ตรวจสอบความถูกต้องของลายเซ็น การยืนยันลายเซ็นต้องใช้ secret หรือ public key ฝั่งเซิร์ฟเวอร์
- การวาง JWT ลงไปปลอดภัยหรือเปล่า
- ปลอดภัย เพราะการถอดรหัสทำในเบราว์เซอร์ของคุณทั้งหมด โทเคนไม่ถูกส่งขึ้นเซิร์ฟเวอร์ใด ๆ แต่ก็ควรระวังโทเคนที่ใช้งานจริงเสมอ
- JWT เก็บข้อมูลแบบเข้ารหัสหรือไม่
- โดยทั่วไป payload ของ JWT เพียงถูกเข้ารหัสแบบ Base64URL ไม่ได้ถูกเข้ารหัสลับ ใครก็ตามที่มีโทเคนสามารถอ่าน payload ได้ จึงไม่ควรเก็บข้อมูลลับไว้ใน payload
- ถอด claim exp แล้วได้ตัวเลข แปลว่าอะไร
- claim exp เป็น Unix timestamp ที่บอกเวลาหมดอายุของโทเคน ถ้าเวลาปัจจุบันเกินค่านี้แล้ว โทเคนถือว่าหมดอายุ
- ใช้ฟรีและต้องสมัครสมาชิกไหม
- ใช้ฟรีทั้งหมด ไม่ต้องสมัครสมาชิก และไม่มีการเก็บหรือส่งข้อมูลของคุณ