Декодер JWT

Что такое JWT-декодер?

JWT-декодер разбивает JSON Web Token на три части — header, payload и signature — и декодирует первые две из Base64URL, чтобы вы увидели обычный JSON. Это инструмент, к которому постоянно возвращаешься при отладке логина, авторизации, claim'ов сессии и проблем с истечением токена.

Декодировать JWT — это *не* то же самое, что ему доверять. Header и payload читаются по задумке: они только закодированы в Base64URL, а не зашифрованы. Проверка подлинности (verification) — отдельный шаг, на котором вы убеждаетесь, что токен действительно подписан нужной стороной и не был изменён.

JWT выглядит как header.payload.signature. Каждая часть закодирована в Base64URL и отделена точкой. В header указан алгоритм подписи, в payload — claim'ы (кто пользователь, когда токен истекает, что ему разрешено), а подпись позволяет серверу убедиться, что токен не подменили.

Что вы поймёте, разбирая JWT

• JWT состоит из трёх частей в Base64URL, разделённых точками: header.payload.signature.
• Стандартные claim'ы вроде sub, role, iat, nbf и exp описывают пользователя, права, время выпуска и время истечения.
• Декодированный payload может изменить кто угодно — обнаружить подмену помогает только подпись.

Как декодировать JWT по шагам

1. 1

   Вставьте токен целиком

   Вставьте JWT в поле ввода. Он должен иметь вид xxxx.yyyy.zzzz — три части в Base64URL, соединённые точками.

2. 2

   Прочитайте header

   Header показывает алгоритм подписи (alg) и тип токена. Будьте внимательны к "alg": "none" — это значит, что токен не подписан и доверять ему нельзя.

3. 3

   Разберите claim'ы из payload

   Payload — это JSON со всеми claim'ами. Ищите sub (id пользователя), exp (срок действия), iat (когда выпущен), а также свои поля приложения, например role или tenant.

4. 4

   Проверьте срок действия

   Переведите Unix-время из exp в дату — если оно уже в прошлом, токен просрочен, и нормальный API его отвергнет.

5. 5

   Проверьте подпись (опционально)

   Если у вас есть секрет или публичный ключ, вставьте его в верификатор, чтобы убедиться, что подпись валидна. Содержимому токена можно доверять только после успешной проверки подписи.

Стандартные claim'ы JWT

Это зарегистрированные claim'ы из спецификации JWT (RFC 7519). Любое приложение может добавлять рядом и свои собственные.

Примеры JWT для практики

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

Частые ошибки при работе с JWT

• Класть в payload пароли, секреты или чувствительные персональные данные. JWT не зашифрован — он просто читается.
• Декодировать токен и считать его валидным, не проверив подпись.
• Путать «удобочитаемость Base64URL» с шифрованием — payload JWT и должен легко читаться.

FAQ по JWT