So dekodieren Sie einen JWT
- 1Das Token einfügen. Ein vorangestelltes „Bearer “ wird automatisch entfernt.
- 2Header und Payload als formatiertes JSON lesen.
- 3Unter „Zeit-Claims“ prüfen, ob das Token abgelaufen oder noch nicht gültig ist.
Wie ein JWT aufgebaut ist
Ein JWT besteht aus drei Base64url-Strings, die durch Punkte verbunden sind. Header und Payload sind JSON; die Signatur ist binär und lässt sich nur mit dem Schlüssel des Ausstellers prüfen.
Registrierte Claims
issIssuer: wer das Token erstellt hatsubSubject: meist die Nutzer-IDaudAudience: der Dienst, für den das Token bestimmt istexpAblaufzeit, in Sekunden seit 1970nbfNot before: vor diesem Zeitpunkt ist das Token ungültigiatAusstellungszeitpunktjtiJWT ID: eindeutige Kennung des TokensHäufige Fragen
Kann ich hier ein echtes Token einfügen?
Das Token wird im Browser dekodiert und nirgendwohin gesendet. Behandeln Sie aktive Tokens trotzdem wie Passwörter und fügen Sie sie nicht in Tools ein, denen Sie nicht vertrauen.
Warum wird die Signatur nicht geprüft?
Die Prüfung braucht das Secret oder den öffentlichen Schlüssel des Ausstellers. Dekodieren zeigt nur, was das Token behauptet; vertrauen Sie diesen Claims auf dem Server nie ohne geprüfte Signatur.
Ist ein JWT verschlüsselt?
Ein normaler signierter JWT nicht. Wer das Token hat, kann den Payload lesen; er ist nur Base64url-kodiertes JSON. Legen Sie keine Geheimnisse hinein.
In welcher Zeitzone sind die Datumsangaben?
In der lokalen Zeitzone Ihres Geräts. Die Rohwerte im Payload sind Unix-Zeitstempel in UTC-Sekunden.