Робочий процес декодування JWT — безпечно перевіряйте маркери

Покроковий посібник із локального декодування та перевірки заголовка JWT і корисного навантаження без надсилання токенів на сервер.

Веб-маркери JSON містять підписані претензії для API та SSO. Перш ніж довіряти маркеру, розробники декодують заголовок і корисне навантаження, перевіряють заявки exp/iss/aud і перевіряють підписи за допомогою правильного ключа.

У цьому посібнику використовується Tentaco JWT Decoder у Security Studio — увесь аналіз залишається у вашому браузері. Ніколи не вставляйте маркери виробництва на ненадійні сайти.

Кроки

Відкрийте JWT Decoder із Security Studio або /use/jwt-decoder.
Вставте JWT (три сегменти Base64url, розділені крапками).
Перегляньте декодований заголовок (alg, typ) і претензії щодо корисного навантаження (sub, exp, iss).
Перевірити exp порівняно з поточним часом — відхилити прострочені токени.
Перевірте підпис локально, якщо у вас є секретний або відкритий ключ — не довіряйте заявам без перевірки.

Відкрити в студії

Студія безпеки

Пов'язані посібники

Декодер JWT — перевірте претензії маркерів

Кроки

Відкрийте JWT Decoder із Security Studio або /use/jwt-decoder.

Вставте JWT (три сегменти Base64url, розділені крапками).

Перегляньте декодований заголовок (alg, typ) і претензії щодо корисного навантаження (sub, exp, iss).

Перевірити exp порівняно з поточним часом — відхилити прострочені токени.

Перевірте підпис локально, якщо у вас є секретний або відкритий ключ — не довіряйте заявам без перевірки.