Giải mã JWT

JWT decoder là gì?

JWT decoder tách một JSON Web Token thành ba phần, gồm header, payload và chữ ký (signature), rồi giải mã Base64URL hai phần đầu để bạn đọc chúng dưới dạng JSON. Lập trình viên dùng công cụ này liên tục khi gỡ lỗi luồng đăng nhập, phân quyền, claim của phiên làm việc và các vấn đề token hết hạn.

Giải mã một JWT *không* có nghĩa là tin tưởng nó. Header và payload được thiết kế để ai cũng đọc được: chúng chỉ được mã hóa Base64URL chứ không được mã hóa bảo mật. Xác minh mới là bước kiểm tra xem token có được ký bởi đúng bên mong đợi và chưa bị chỉnh sửa hay không.

Một JWT có dạng header.payload.signature. Mỗi phần được mã hóa Base64URL và phân tách bằng dấu chấm. Header cho biết thuật toán ký được dùng, payload chứa các claim (người dùng là ai, khi nào token hết hạn, họ được phép làm gì), còn chữ ký giúp máy chủ chứng minh token chưa bị sửa đổi.

Bạn sẽ học được gì khi giải mã JWT

• Một JWT có ba phần được mã hóa Base64URL, phân tách bằng dấu chấm: header.payload.signature.
• Các claim phổ biến như sub, role, iat, nbf và exp mô tả danh tính, quyền hạn, thời điểm phát hành và thời điểm hết hạn.
• Ai cũng có thể sửa payload đã giải mã: chỉ chữ ký mới giúp máy chủ phát hiện token bị giả mạo.
• Các thuật toán khác nhau: HS256 dùng một khóa bí mật chung; RS256 và ES256 dùng cặp khóa công khai và khóa riêng. Trường alg trong header cho bạn biết thuật toán nào được dùng.

Cách giải mã JWT từng bước

1. 1

   Dán toàn bộ token

   Dán JWT vào ô nhập. Token có dạng xxxx.yyyy.zzzz: ba phần mã hóa Base64URL nối với nhau bằng dấu chấm.

2. 2

   Đọc header

   Header cho biết thuật toán ký (alg) và loại token. Hãy cẩn thận với "alg": "none": nghĩa là token không được ký và không thể tin tưởng.

3. 3

   Đọc các claim trong payload

   Payload là đoạn JSON chứa tất cả claim. Tìm sub (id người dùng), exp (thời điểm hết hạn), iat (thời điểm phát hành) và mọi claim tùy chỉnh mà ứng dụng của bạn thêm vào như role hoặc tenant.

4. 4

   Kiểm tra thời hạn

   Đổi Unix timestamp trong exp sang ngày tháng: nếu thời điểm đó đã qua, token đã hết hạn và mọi API tuân thủ đúng chuẩn đều sẽ từ chối nó.

5. 5

   Xác minh chữ ký (tùy chọn)

   Nếu có khóa bí mật hoặc khóa công khai, dán vào phần xác minh để kiểm tra chữ ký có hợp lệ không. Nội dung token chỉ đáng tin khi chữ ký hợp lệ.

Các claim JWT chuẩn

Đây là các claim đã đăng ký do đặc tả JWT định nghĩa (RFC 7519). Ứng dụng nào cũng có thể thêm claim tùy chỉnh của riêng mình bên cạnh các claim này.

Ví dụ JWT để thử

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

Lỗi thường gặp với JWT

• Đưa mật khẩu, khóa bí mật hoặc dữ liệu cá nhân nhạy cảm vào payload. JWT đọc được, không được mã hóa bảo mật.
• Giải mã một token rồi cho rằng nó hợp lệ mà không kiểm tra chữ ký.
• Nhầm việc đọc được nhờ Base64URL với mã hóa bảo mật: payload JWT được thiết kế để dễ đọc.
• Lưu JWT trong localStorage mà không cân nhắc rủi ro XSS, rồi lại đặt thời hạn rất dài.
• Không kiểm tra claim aud (audience): token cấp cho một dịch vụ có thể bị dùng lại ở dịch vụ khác nếu bên nhận không kiểm tra.

Câu hỏi thường gặp về JWT