ตัวถอดรหัส JWT

คำเหล่านี้อ้างถึงอัลกอริทึมการลงนามใน JWT header โดย HS256 (HMAC-SHA256) ใช้ shared secret — คีย์เดียวกันถูกใช้ทั้งในการลงนามและตรวจสอบ ซึ่งหมายความว่าใครก็ตามที่มีคีย์ก็สามารถสร้าง token ที่ถูกต้องได้ ส่วน RS256 (RSA-SHA256) ใช้คู่ public/private key — เซิร์ฟเวอร์จะลงนามด้วย private key และเผยแพร่ public key สำหรับการตรวจสอบ RS256 ปลอดภัยกว่าในระบบแบบกระจายเพราะผู้ตรวจสอบต้องการเพียงแค่ public key และไม่สามารถปลอมแปลง token ได้ เครื่องมือถอดรหัสนี้จะแสดงฟิลด์ alg ให้คุณเห็น แต่ไม่สามารถตรวจสอบอัลกอริทึมใดๆ ได้ — มันอ่านเฉพาะสิ่งที่อยู่ภายในเท่านั้น

ไม่ได้ การตรวจสอบลายเซ็นต้องใช้ secret (สำหรับอัลกอริทึม HMAC) หรือ public key (สำหรับอัลกอริทึม RSA/EC) ที่ใช้ในการลงนาม token เครื่องมือนี้เพียงแค่ถอดรหัส — มันจะทำการ Base64url-decode ส่วน header และ payload เพื่อแสดงเนื้อหาให้คุณเห็นโดยไม่มีการตรวจสอบทางวิทยาการรหัสลับใดๆ ส่วนของ signature จะถูกแสดงผลตามที่ปรากฏแต่ไม่ได้รับการตรวจสอบ สำหรับการยืนยันลายเซ็น ให้ใช้ไลบรารี JWT ฝั่งเซิร์ฟเวอร์ของคุณ (เช่น jsonwebtoken สำหรับ Node.js, PyJWT สำหรับ Python, java-jwt สำหรับ Java เป็นต้น)

Registered claims คือฟิลด์ใน payload ที่เป็นมาตรฐานซึ่งกำหนดไว้ใน RFC 7519 โดยมีเจ็ดมาตรฐานคือ: iss (issuer) — ผู้ที่ออก token; sub (subject) — ใครที่เป็นเจ้าของ token (มักจะเป็น user ID); aud (audience) — ผู้รับที่ตั้งใจไว้; exp (expiration time) — Unix timestamp หลังจากซึ่ง token จะไม่ถูกต้อง; nbf (not before) — Unix timestamp ก่อนหน้าซึ่ง token ไม่ควรถูกยอมรับ; iat (issued at) — Unix timestamp เมื่อ token ถูกสร้างขึ้น; jti (JWT ID) — ตัวระบุเฉพาะสำหรับ token เครื่องมือนี้จะแปลง exp, nbf และ iat จาก Unix timestamps ให้เป็นวันที่ที่มนุษย์อ่านได้

เครื่องมือถอดรหัสจะตรวจสอบ claims ของ exp เทียบกับเวลาปัจจุบันและทำเครื่องหมาย token ที่หมดอายุอย่างชัดเจน Token ที่หมดอายุหมายความว่า API จะปฏิเสธด้วยการตอบกลับ 401 Unauthorized — คุณต้องใช้ refresh token เพื่อรับ access token ใหม่ (หากระบบยืนยันตัวตนของคุณรองรับ refresh tokens) หรือล็อกอินใหม่อีกครั้ง หากคุณกำลังแก้ปัญหาความผิดพลาด "expired token" จาก API เครื่องมือถอดรหัสนี้จะแสดงให้เห็นอย่างชัดเจนว่า token หมดอายุเมื่อใดและถูกออกเมื่อใด

ฟิลด์ alg ใน header จะถูกแสดงผลในรูปแบบที่ถอดรหัสแล้ว — หาก token มี "alg":"none" คุณจะเห็นมัน นี่คือช่องโหว่ JWT ที่เป็นที่รู้จัก: การใช้งานในช่วงแรกบางอย่างยอมรับ token ที่ไม่มีลายเซ็น (alg:none) ซึ่งทำให้ผู้ไม่หวังดีสามารถปลอมแปลง payloads ใดๆ ก็ได้ ไลบรารี JWT ที่ติดตั้งอย่างถูกต้องจะปฏิเสธ token แบบ alg:none โดยเริ่มต้น หากคุณเห็น alg:none ใน token จากระบบของคุณเอง นั่นคือบั๊กความปลอดภัยที่ร้ายแรงซึ่งต้องได้รับการแก้ไขทันที

ไม่ การถอดรหัสทั้งหมดเกิดขึ้นในเบราว์เซอร์ของคุณโดยใช้ JavaScript — การถอดรหัส Base64url ไม่ต้องการการคำนวณฝั่งเซิร์ฟเวอร์ JWT tokens ของคุณ รวมถึง user IDs, roles หรือข้อมูลเซสชันใดๆ ที่บรรจุอยู่ จะไม่มีวันออกจากอุปกรณ์ของคุณ อย่างไรก็ตาม ควรระมัดระวังในการวาง production JWT tokens ลงในเครื่องมือออนไลน์ใดๆ — แม้แต่เครื่องมือนี้ด้วย สำหรับการแก้ปัญหาการยืนยันตัวตนในระบบ Production ให้ใช้แท็บ network ใน developer tools ของเบราว์เซอร์หรือระบบ logging ของคุณแทน

JWT ที่ถูกต้องต้องมีจุดสองจุดแยกส่วนที่เข้ารหัสด้วย Base64url จำนวนสามส่วน หาก token ไม่มีจุด มันจะไม่ใช่ JWT — มันอาจจะเป็น opaque token (ตัวระบุแบบสุ่มที่ต้องการการตรวจสอบฝั่งเซิร์ฟเวอร์) แทนที่จะเป็น JWT แบบ self-contained บางระบบใช้ทั้งสองประเภท: opaque refresh token และ JWT access token หากคุณได้รับข้อผิดพลาด "Invalid JWT format" ให้ตรวจสอบว่าคุณกำลังวาง access token (ซึ่งควรจะขึ้นต้นด้วย "ey") และไม่ใช่ refresh token