JWT Decoder - JSON Web Tokens

Mã thông báo web JSON (JSON Web Token) là một loại thông tin xác thực. Ứng dụng này giải mã một mã thông báo, giải thích nội dung của nó,

và kiểm tra chữ ký của nó — hoàn toàn trên thiết bị của bạn, mà không cần truy cập mạng.

GIẢI MÃ BẤT KỲ THỨ GÌ CÓ HÌNH DẠNG MÃ THÔNG BÁO

Dán một mã thông báo, hoặc gửi một mã thông báo từ ứng dụng khác vào đây: chọn nó trong nhật ký, lệnh curl,

tiêu đề Ủy quyền hoặc phản hồi JSON, sau đó sử dụng Chia sẻ hoặc mục

Giải mã JWT trong menu văn bản. Mã thông báo sẽ được trích xuất từ ​​văn bản xung quanh nó.

Cả mã thông báo đã ký (JWS) và mã thông báo được mã hóa (JWE) đều được nhận dạng. Thông tin xác thực của JWE không thể đọc được nếu không có khóa riêng của người nhận, vì vậy ứng dụng sẽ nói rõ điều đó

và hiển thị những gì tiêu đề được bảo vệ tiết lộ, thay vì gọi một mã thông báo hợp lệ là bị hỏng.

Khi một mã thông báo bị hỏng, bạn vẫn nhận được những gì có thể đọc được: tải trọng bị cắt ngắn

không ngăn cản tiêu đề nêu tên thuật toán và ID khóa.

ĐỌC CÁC THÔNG TIN XÁC THỰC, KHÔNG PHẢI MÃ BASE64

Mỗi thông tin xác thực đã đăng ký đều được đặt tên và giải thích: tổ chức phát hành, đối tượng, đối tượng,

thời hạn hết hạn, không trước ngày phát hành, mã định danh token. Thông tin về thời gian hiển thị dưới dạng ngày tháng thực tế cộng với khoảng thời gian trễ — "hết hạn cách đây 4 giờ", "trong 12 phút" — theo giờ địa phương, UTC hoặc giây.

Thông tin về đối tượng hoạt động cho dù đó là một chuỗi ký tự hay một danh sách. Khoảng chín mươi tên thông tin xác thực được nhận dạng, bao gồm cả bộ thông tin OpenID Connect và các thông tin của nhà cung cấp từ Microsoft Entra, Firebase, AWS Cognito, Auth0 và Keycloak, vì vậy bạn có thể biết hệ thống nào đã tạo ra token.

KIỂM TRA CHỮ KÝ

• HS256, HS384, HS512 so với khóa bí mật được chia sẻ — dưới dạng văn bản, base64, base64url hoặc

hex, bạn chọn định dạng thay vì ứng dụng tự đoán

• RS256/384/512, PS256/384/512, ES256/384/512 và ES256K so với khóa công khai

• Khóa được chấp nhận dưới dạng PEM, chứng chỉ X.509, JWK hoặc toàn bộ tệp jwks.json —

trong trường hợp này, ID khóa của chính token sẽ chọn đúng mục nhập

Kết quả không bao giờ chỉ là có hoặc không. "Không khớp", "sai loại khóa",

"sai đường cong" và "không thể kiểm tra thuật toán này ở đây" là bốn câu trả lời khác nhau

và bạn sẽ nhận được câu trả lời đúng. Một chữ ký được xác minh nhưng được mã hóa DER

thay vì dạng thô mà JOSE yêu cầu sẽ được báo cáo chính xác như vậy: hợp lệ, và

vẫn sẽ bị từ chối ở nơi khác.

HIỂU RÕ NHỮNG LỖI CỦA NÓ

Ba mươi lăm phát hiện, mỗi phát hiện được giải thích bằng một câu thay vì dùng thuật ngữ chuyên ngành:

• "alg" được đặt thành none, vì vậy bất kỳ ai cũng có thể tạo ra token

• Tên thuật toán có cách viết hoa không khớp với bất kỳ tên nào đã đăng ký

• Khóa được nhúng trong tiêu đề, hoặc tiêu đề trỏ đến một khóa từ xa

• Phần mở rộng "crit" mà trình xác minh được yêu cầu phải hiểu nhưng lại không hiểu

• "nbf" tại hoặc sau "exp", vì vậy không có thời điểm nào token hợp lệ

• "exp" được phát ra trong mili giây — hoặc micro giây, hoặc nano giây

• Cùng một yêu cầu xuất hiện hai lần, mà các thư viện khác nhau xử lý khác nhau

• Không có đối tượng, vì vậy không có gì ràng buộc token với dịch vụ nhận nó

• Chữ ký ECDSA có độ dài không phù hợp với đường cong của nó

• Và điều mà nhiều người cần biết: tải trọng được ký, không phải

được mã hóa. Bất kỳ ai giữ token đều có thể đọc mọi yêu cầu trong đó.

ĐƯỢC THIẾT KẾ CHO NHỮNG THỨ BẠN KHÔNG TIN TƯỞNG

Không có mã thông báo, khóa hay bí mật nào được truyền đi, và khóa và bí mật không bao giờ được

ghi vào bộ nhớ — chúng chỉ tồn tại khi màn hình đang mở.

Các mã thông báo gần đây được lưu giữ trên thiết bị để bạn có thể quay lại sử dụng. Danh sách hiển thị một

mã thông báo được che giấu và sẽ hỏi trước khi tiết lộ; bộ nhớ được giới hạn và có thể xóa,

và nó được loại trừ khỏi bản sao lưu đám mây của Android và việc chuyển dữ liệu giữa các thiết bị, vì vậy

mã thông báo đã lưu trữ không bao giờ rời khỏi điện thoại. Tắt tính năng này sẽ xóa những gì

đã có sẵn.

CŨNG THÊM

• Chế độ sáng và tối, theo cài đặt hệ thống của bạn

• Mười ngôn ngữ

• Tải trọng và tiêu đề được tô màu theo cú pháp, các số được hiển thị chính xác như đã viết

• Cho phép độ lệch đồng hồ có thể cấu hình, để phán quyết phù hợp với những gì máy chủ

với đồng hồ hơi khác sẽ quyết định

• Mã thông báo lồng nhau: nếu tải trọng tự nó là một JWT, hãy mở nó