Dekoder JWT
Dekoduj JSON Web Tokens (JWT), aby wyświetlić nagłówek i dane payload bez weryfikacji podpisu. Wizualizuj strukturę tokena, analizuj oświadczenia, sprawdzaj czasy wygaśnięcia i łatwo debuguj problemy z uwierzytelnianiem. Przetwarzanie w 100% po stronie klienta dla zachowania prywatności.
🚀 Wypróbuj te przykładowe tokeny JWT:
Blokada reklam uniemożliwia wyświetlanie reklam
MiniWebtool jest darmowy dzięki reklamom. Jeśli to narzędzie Ci pomogło, wesprzyj nas przez Premium (bez reklam + szybciej) albo dodaj MiniWebtool.com do wyjątków i odśwież stronę.
- Albo przejdź na Premium (bez reklam)
- Zezwól na reklamy dla MiniWebtool.com, potem odśwież
O Dekoder JWT
Witaj w narzędziu Dekoder JWT, potężnym narzędziu online dla programistów do błyskawicznego dekodowania i inspekcji tokenów JSON Web Token (JWT). Niezależnie od tego, czy debugujesz problemy z uwierzytelnianiem, weryfikujesz roszczenia w tokenie, czy uczysz się o strukturze JWT, to narzędzie zapewnia przejrzystą, oznaczoną kolorami wizualizację wszystkich komponentów tokena bez wysyłania jakichkolwiek danych na zewnętrzne serwery.
Co to jest JSON Web Token (JWT)?
JSON Web Token (JWT, wymawiane "jot") to otwarty standard (RFC 7519), który definiuje zwartą i autonomiczną metodę bezpiecznego przesyłania informacji między stronami jako obiekt JSON. Tokeny JWT są szeroko stosowane do:
- Uwierzytelniania: Po zalogowaniu użytkownika, każde kolejne żądanie zawiera JWT, umożliwiając dostęp do tras, usług i zasobów dozwolonych dla tego tokena.
- Wymiany informacji: JWT mogą bezpiecznie przesyłać informacje między stronami, ponieważ mogą być podpisane przy użyciu kluczy tajnych (HMAC) lub par kluczy publicznych/prywatnych (RSA, ECDSA).
- Autoryzacji: Serwery mogą weryfikować roszczenia w tokenie, aby określić uprawnienia użytkownika bez odpytywania bazy danych przy każdym żądaniu.
Wyjaśnienie struktury JWT
JWT składa się z trzech części oddzielonych kropkami (.):
1. Nagłówek (Czerwony)
Nagłówek zazwyczaj zawiera dwie informacje:
alg: Użyty algorytm podpisu (np. HS256, RS256, ES256)typ: Typ tokena, który zawsze wynosi "JWT"
2. Ładunek / Payload (Fioletowy)
Ładunek zawiera roszczenia (claims) – stwierdzenia o użytkowniku i dodatkowe metadane. Istnieją trzy rodzaje roszczeń:
- Roszczenia zarejestrowane: Predefiniowane roszczenia, takie jak
iss(wydawca),exp(wygaśnięcie),sub(podmiot),aud(odbiorca) - Roszczenia publiczne: Niestandardowe roszczenia zarejestrowane w rejestrze IANA JSON Web Token lub zdefiniowane jako URI
- Roszczenia prywatne: Niestandardowe roszczenia uzgodnione między stronami (np.
user_id,role)
3. Sygnatura (Niebieski)
Sygnatura jest tworzona przez połączenie zakodowanego nagłówka, zakodowanego ładunku, klucza tajnego oraz algorytmu określonego w nagłówku. Gwarantuje ona, że token nie został zmieniony.
Referencja popularnych roszczeń JWT
| Roszczenie | Nazwa | Opis |
|---|---|---|
iss |
Wydawca | Identyfikuje, kto wystawił JWT (np. URL serwera autoryzacji) |
sub |
Podmiot | Identyfikuje podmiot JWT (zazwyczaj ID użytkownika lub e-mail) |
aud |
Odbiorca | Identyfikuje odbiorców, dla których przeznaczony jest JWT |
exp |
Czas wygaśnięcia | Znacznik czasu Unix, po którym JWT przestaje być ważny |
nbf |
Nie przed | Znacznik czasu Unix, przed którym JWT nie jest ważny |
iat |
Wystawiono o | Znacznik czasu Unix momentu wystawienia JWT |
jti |
ID JWT | Unikalny identyfikator JWT (przydatny w zapobieganiu atakom typu replay) |
Algorytmy podpisywania JWT
Algorytmy symetryczne (HMAC)
HS256: HMAC przy użyciu SHA-256 - ten sam klucz tajny do podpisywania i weryfikacjiHS384: HMAC przy użyciu SHA-384HS512: HMAC przy użyciu SHA-512
Algorytmy asymetryczne (RSA/ECDSA)
RS256: Podpis RSA z SHA-256 - klucz prywatny podpisuje, klucz publiczny weryfikujeRS384: Podpis RSA z SHA-384RS512: Podpis RSA z SHA-512ES256: ECDSA przy użyciu krzywej P-256 i SHA-256ES384: ECDSA przy użyciu krzywej P-384 i SHA-384ES512: ECDSA przy użyciu krzywej P-521 i SHA-512
Kwestie bezpieczeństwa
Dekodowanie a weryfikacja
Ważne: To narzędzie dekoduje JWT, ale ich nie weryfikuje. Dekodowanie po prostu ujawnia treść zakodowaną w formacie Base64URL, podczas gdy weryfikacja wymaga klucza tajnego do sprawdzenia sygnatury. Nigdy nie ufaj zdekodowanym danym bez weryfikacji sygnatury po stronie serwera.
Najlepsze praktyki
- Zawsze weryfikuj sygnatury po stronie serwera przed zaufaniem jakimkolwiek roszczeniom
- Używaj krótkich czasów wygaśnięcia (
exp) - zazwyczaj od 15 minut do 1 godziny dla tokenów dostępu - Nie przechowuj wrażliwych danych w ładunku – jest on zakodowany, a nie zaszyfrowany
- Używaj HTTPS, aby zapobiec przechwyceniu tokena podczas transmisji
- Sprawdzaj roszczenie odbiorcy (
aud), aby zapobiec niewłaściwemu użyciu tokena - Używaj algorytmów asymetrycznych (RS256, ES256) w systemach rozproszonych, gdzie wiele usług musi weryfikować tokeny
Prywatność i bezpieczeństwo
Ten dekoder JWT działa w całości w Twojej przeglądarce:
- Brak transmisji na serwer: Twój JWT nigdy nie jest wysyłany na żaden serwer
- Przetwarzanie po stronie klienta: Całe dekodowanie odbywa się w JavaScript w Twojej przeglądarce
- Brak przechowywania danych: Nie przechowujemy, nie logujemy ani nie śledzimy Twoich tokenów
- Logika Open Source: Możesz sprawdzić logikę dekodowania w narzędziach programistycznych swojej przeglądarki
Często zadawane pytania
Co to jest JWT (JSON Web Token)?
JSON Web Token (JWT) to otwarty standard (RFC 7519) do bezpiecznego przesyłania informacji między stronami jako obiekt JSON. Tokeny JWT są powszechnie używane do uwierzytelniania i autoryzacji w aplikacjach internetowych. JWT składa się z trzech części: Nagłówek (algorytm i typ tokena), Ładunek (roszczenia/dane) i Sygnatura (weryfikacja).
Czy dekodowanie JWT w przeglądarce jest bezpieczne?
Tak, dekodowanie JWT w przeglądarce jest bezpieczne, ponieważ nagłówek i ładunek są po prostu zakodowane w Base64URL, a nie zaszyfrowane. Pamiętaj jednak, że dekodowanie NIE weryfikuje sygnatury tokena. Nigdy nie ufaj zdekodowanym danym bez właściwej weryfikacji sygnatury po stronie serwera. To narzędzie dekoduje tokeny w całości w przeglądarce – żadne dane nie są wysyłane na serwer.
Co oznaczają poszczególne części JWT?
JWT posiada trzy części oddzielone kropkami: 1) Nagłówek – zawiera algorytm (alg) i typ tokena (typ), zazwyczaj HS256 lub RS256. 2) Ładunek – zawiera roszczenia, czyli stwierdzenia o użytkowniku i dane takie jak czas wygaśnięcia (exp), wystawienia (iat), podmiot (sub) itp. 3) Sygnatura – utworzona przez podpisanie nagłówka i ładunku kluczem tajnym, służy do weryfikacji integralności tokena.
Dlaczego nie mogę zweryfikować sygnatury tym narzędziem?
Weryfikacja sygnatury wymaga klucza tajnego (dla algorytmów symetrycznych jak HS256) lub klucza publicznego (dla algorytmów asymetrycznych jak RS256). Ponieważ to narzędzie działa lokalnie w przeglądarce dla zachowania prywatności, nie ma dostępu do kluczy tajnych Twojego serwera. Aby weryfikować sygnatury, użyj bibliotek serwerowych, takich jak jsonwebtoken (Node.js) lub PyJWT (Python).
Jakie są typowe roszczenia JWT?
Powszechne zarejestrowane roszczenia to: iss (wydawca), sub (podmiot), aud (odbiorca), exp (wygaśnięcie), nbf (nie przed), iat (wystawiono o) oraz jti (ID JWT). Roszczenia niestandardowe mogą zawierać user_id, email, role, uprawnienia lub dowolne dane aplikacji. Roszczenia czasowe to znaczniki czasu Unix.
Dodatkowe zasoby
Cytuj ten materiał, stronę lub narzędzie w następujący sposób:
"Dekoder JWT" na https://MiniWebtool.com/pl// z MiniWebtool, https://MiniWebtool.com/
przez zespół miniwebtool. Aktualizacja: 3 lutego 2026