JWT Decoder - JSON Web Tokens

JSON Web Token bir kimlik bilgisidir. Bu uygulama bir token'ı çözer, ne anlama geldiğini açıklar ve imzasını kontrol eder; tamamen cihazınızda, kendi ağ erişimine ihtiyaç duymadan.

TOKEN ŞEKLİNDEKİ HER ŞEYİ ÇÖZÜN

Bir token yapıştırın veya başka bir uygulamadan buraya gönderin: bir günlükte, bir curl komutunda, bir Yetkilendirme başlığında veya bir JSON yanıtında seçin, ardından Paylaş'ı veya metin menüsündeki JWT Çöz öğesini kullanın. Token, etrafındaki metinden çıkarılır.

İmzalı token'lar (JWS) ve şifrelenmiş token'lar (JWE) tanınır. Bir JWE'nin iddiaları, alıcının özel anahtarı olmadan okunamaz, bu nedenle uygulama bunu belirtir ve geçerli bir token'ı bozuk olarak adlandırmak yerine, korunan başlığın neyi ortaya çıkardığını gösterir.

Bir token hasar gördüğünde bile okunabilecek olanı alırsınız: kısaltılmış bir yük, başlığın algoritmayı ve anahtar kimliğini belirtmesini engellemez.

BASE64'Ü DEĞİL, İDDİALARI OKUYUN

Her kayıtlı iddianın adı ve açıklaması verilmiştir: veren, konu, hedef kitle,

son kullanma tarihi, geçerlilik süresi, verildiği tarih, token kimliği. Zaman iddiaları gerçek bir tarih artı ne kadar süre sonrasını gösterir — "4 saat önce sona erdi", "12 dakika içinde" — yerel saat, UTC veya ham saniye cinsinden.

Hedef kitle, tek bir dize veya liste olsun, çalışır. Yaklaşık doksan iddia

adı tanınır; bunlar arasında OpenID Connect seti ve

Microsoft Entra, Firebase, AWS Cognito, Auth0 ve Keycloak'tan gelen satıcı adları da bulunur, böylece token'ı hangi sistemin bastığını anlayabilirsiniz.

İMZA KONTROLÜ

• HS256, HS384, HS512, paylaşılan bir gizli anahtarla karşılaştırılır — metin, base64, base64url veya

onaltılık sayı olarak; hangisini uygulama tahmin etmek yerine siz seçersiniz.

• RS256/384/512, PS256/384/512, ES256/384/512 ve ES256K, açık bir anahtarla karşılaştırılır.

• Anahtarlar PEM, X.509 sertifikası, JWK veya tüm jwks.json dosyası olarak kabul edilir —

bu durumda token'ın kendi anahtar kimliği doğru girişi seçer.

Karar asla sadece evet veya hayır değildir. "Eşleşmiyor", "yanlış anahtar türü",

"yanlış eğri" ve "bu algoritma burada kontrol edilemez" dört farklı

cevaptır ve siz doğru olanı alırsınız. Doğrulanan ancak JOSE'nin istediği ham form yerine DER kodlamasıyla kodlanmış bir imza,

tam olarak bu şekilde raporlanır: geçerli ve

yine de başka yerlerde reddedilecektir.

SORUNUN NE OLDUĞUNU BİLİN

Otuz beş bulgu, her biri jargonla adlandırılmak yerine bir cümleyle açıklanmıştır:

• "alg" değeri "none" olarak ayarlanmış, bu nedenle herkes token'ı basabilir

• büyük harf kullanımı kayıtlı olanlardan hiçbiriyle eşleşmeyen bir algoritma adı

• başlığa gömülü bir anahtar veya uzak bir anahtara işaret eden bir başlık

• bir doğrulayıcının anlaması gereken ve anlamadığı bir "crit" uzantısı

• "exp"ten önce veya sonra "nbf", bu nedenle token'ın geçerli olduğu hiçbir an yok

• "exp" milisaniye, mikrosaniye veya nanosaniye cinsinden yayılıyor

• farklı kütüphanelerin farklı şekilde çözdüğü aynı iddia iki kez görünüyor

• hiçbir hedef kitle yok, bu nedenle token'ı alan hizmete bağlayan hiçbir şey yok

• eğrisi için yanlış uzunlukta bir ECDSA imzası

• ve birçok insanın duyması gereken şey: yük imzalanmış, şifrelenmemiş.

Token'ı elinde bulunduran herkes içindeki her iddiayı okuyabilir.

GÜVENMEDİĞİNİZ BİR ŞEY İÇİN TASARLANDI

Hiçbir token, anahtar veya sır asla iletilmez ve anahtarlar ve sırlar asla

depoya yazılmaz - yalnızca ekran açıkken var olurlar.

Son tokenlar cihazda saklanır, böylece onlara geri dönebilirsiniz. Liste,

gizlenmiş bir token gösterir ve birini göstermeden önce sorar; depolama alanı sınırlıdır ve temizlenebilir,

ve Android'in bulut yedeklemesinden ve cihazdan cihaza aktarımından hariç tutulur, böylece

saklanan bir token asla telefondan ayrılmaz. Özelliği kapatmak,

zaten orada olanı siler.

AYRICA

• Sistem ayarınıza göre açık ve koyu mod

• On dil

• Sözdizimi renkli yük ve başlık, sayılar tam olarak yazıldığı gibi gösterilir

• Yapılandırılabilir saat sapması toleransı, böylece karar, biraz farklı bir saate sahip bir sunucunun

vereceği kararla eşleşir

• İç içe tokenlar: yükün kendisi bir JWT ise, onu açın