JWT-Decoder
Füge ein JSON Web Token ein, um seinen dekodierten Header und Payload zu sehen, hübsch formatiert als JSON.
Header
—
Payload
—
Häufig gestellte Fragen
Überprüft dieses Tool die Signatur des Tokens?
Nein. Der Header und die Payload eines JWT sind nur base64url-kodiertes JSON, für jeden ohne Geheimnis lesbar, dieses Tool dekodiert nur diesen Teil. Die Signatur zu überprüfen erfordert das Geheimnis oder den öffentlichen Schlüssel des Ausstellers und ist ein separater, hier absichtlich ausgelassener Schritt.
Ist es sicher, hier ein echtes Produktions-Token einzufügen?
Die Dekodierung erfolgt vollständig in deinem Browser mit JavaScript, das Token wird nie an einen Server gesendet. Trotzdem, als allgemeine Gewohnheit, vermeide es, aktive Tokens (besonders mit sensiblen Claims) in irgendein Web-Tool einzufügen, dekodiere wenn möglich ein Beispiel oder abgelaufenes Token.
Warum kann jeder den Inhalt eines JWT lesen?
JWTs sind absichtlich signiert, nicht verschlüsselt. Die Signatur beweist, dass das Token nicht manipuliert wurde, aber die Payload selbst ist für jeden, der das Token hat, deutlich sichtbar. Setze niemals Geheimnisse oder sensible persönliche Daten direkt in eine JWT-Payload.