Как декодировать JWT
- 1Вставьте токен. «Bearer » в начале удаляется автоматически.
- 2Прочитайте заголовок и payload в виде отформатированного JSON.
- 3В блоке «Временные поля» проверьте, не истёк ли токен и действует ли он уже.
Из чего состоит JWT
JWT — это три строки Base64url, соединённые точками. Заголовок и payload — это JSON; подпись — двоичные данные, проверить её можно только ключом издателя.
HeaderТип токена и алгоритм подписи, например HS256 или RS256.
PayloadУтверждения о пользователе и о самом токене.
SignatureДоказывает, что первые две части не изменялись.
Стандартные поля
issИздатель: кто создал токенsubСубъект: обычно ID пользователяaudАудитория: сервис, для которого выдан токенexpСрок действия, в секундах с 1970 годаnbfНе раньше: до этого времени токен недействителенiatВремя выдачиjtiJWT ID: уникальный идентификатор токенаЧастые вопросы
Безопасно ли вставлять сюда настоящий токен?
Токен декодируется в браузере и никуда не отправляется. Но всё равно обращайтесь с действующими токенами как с паролями и не вставляйте их в сервисы, которым не доверяете.
Почему подпись не проверяется?
Для проверки нужен секрет или открытый ключ издателя. Декодирование показывает только то, что утверждает токен; на сервере не доверяйте этим данным без проверки подписи.
JWT зашифрован?
Обычный подписанный JWT — нет. Любой, у кого есть токен, может прочитать payload: это просто JSON в кодировке Base64url. Не кладите туда секреты.
В каком часовом поясе показаны даты?
В часовом поясе вашего устройства. Сами значения в payload — Unix-время в секундах (UTC).