ถอดรหัส JWT: อ่าน header, payload, เวลาหมดอายุ และตรวจลายเซ็น

JWT ที่เห็นเป็นสตริงยาว ๆ จริง ๆ เป็นข้อมูล JSON ที่เข้ารหัส Base64 ใครก็อ่านได้ การถอดจึงเป็นแค่การอ่าน ไม่ใช่การพิสูจน์ว่าโทเคนจริง

ถอดได้ไม่ได้แปลว่าเชื่อถือได้

การอ่าน header และ payload ใช้แค่การถอด Base64 ไม่ต้องใช้คีย์ มีเพียงการตรวจลายเซ็นด้วยคีย์ที่ถูกต้องเท่านั้นที่บอกได้ว่าโทเคนไม่ถูกแก้ไข

เครื่องมือแสดงอะไร

• header และ payload แบบอ่านง่าย
• exp iat nbf แปลงเป็นวันที่ และบอกว่าหมดอายุหรือยัง
• คำเตือนเมื่อ alg เป็น none
• ตรวจลายเซ็นด้วย secret หรือ public key สำหรับ HS256 RS256 ES256

ข้อควรระวัง

โทเคนจริงอาจให้สิทธิ์เข้าระบบได้ เครื่องมือนี้ทำงานในเบราว์เซอร์และไม่ส่งโทเคนไปไหน แต่ก็ไม่ควรแชร์โทเคนที่ยังใช้ได้กับผู้อื่น