Giải mã JWT

Bắt đầu nhanh

1

Dán JWT đầy đủ gồm ba phần ngăn cách bằng dấu chấm.

2

Đọc JSON Header và Payload; Signature chỉ hiển thị thô, không xác minh.

3

Kiểm tra exp/nbf/iat theo giờ địa phương và UTC.

4

Sao chép phần cần dùng; xóa token nhạy cảm khi hoàn tất.

Tình huống sử dụng phổ biến

Gỡ lỗi API

Kiểm tra nhanh nội dung mã thông báo và so sánh các xác nhận quyền sở hữu

Kiểm tra hết hạn

Xem trường exp để biết token có hợp lệ không

Học JWT

Hiểu cấu trúc Header/Payload và mã hóa Base64URL

So sánh môi trường

So sánh token giữa dev/test/prod

Gợi ý sử dụng

Tải trọng được giải mã có thể đọc được, không đáng tin cậy. Hệ thống sản xuất phải xác minh chữ ký và xác thực các quy tắc iss, aud, sub, phạm vi và thu hồi trên phần phụ trợ.

Tránh dán token có dữ liệu nhạy cảm trên thiết bị công cộng

Trường thời gian là Unix timestamp (giây); công cụ tự động chuyển sang giờ địa phương/UTC

Hợp đồng giải mã

Đầu vào phải là JWT compact ba phần ở dạng header.payload.signature. Token JWE năm phần và định dạng token tùy chỉnh nằm ngoài bộ giải mã này.

Tiêu đề và Tải trọng được giải mã Base64URL dưới dạng UTF-8 và sau đó được phân tích cú pháp dưới dạng JSON. Nếu một trong hai phần không hợp lệ Base64URL hoặc JSON thì đầu vào nguồn vẫn giữ nguyên và kết quả hiển thị lỗi khớp.

Bảng Signature chỉ hiển thị segment thứ ba thô. Không có xác minh bằng secret, public key, JWK/JWKS hoặc Web Crypto tại đây.

Ranh giới an ninh

Giải mã JWT chạy cục bộ trong trình duyệt. Token nhập vào có thể được giữ như bản nháp trong trình duyệt. Nếu bật không gian làm việc đã lưu hoặc đồng bộ WebDAV, token nhập vào có thể được lưu qua đồng bộ đó. Dữ liệu hiển thị Header, Payload, Signature, thẻ thời gian claim, lỗi phân tích, trạng thái sao chép và lịch sử hoàn tác đều được suy ra từ token hiện tại và không được lưu thành dữ liệu kết quả riêng. Công cụ này không xác minh chữ ký, không lấy JWKS hoặc URL, không tải token lên, không tạo tệp đính kèm và không tạo bản tải xuống tệp đã giải mã. Trên thiết bị dùng chung, hãy xóa token và dữ liệu trang khi hoàn tất.

Nếu mã thông báo chứa thông tin nhạy cảm, hãy sử dụng thiết bị riêng tư và xóa đầu vào sau khi kiểm tra.

Việc giải mã chỉ làm cho các xác nhận quyền sở hữu có thể đọc được. Nó không chứng minh mã thông báo được phát hành bởi máy chủ của bạn, được API chấp nhận hoặc an toàn để tin cậy.

alg, kid, iss, aud, sub, phạm vi, vai trò và jti được hiển thị dưới dạng các trường JSON đơn giản. Xác thực chúng bằng phần phụ trợ, siêu dữ liệu của nhà phát hành, khóa, quy tắc đối tượng và chính sách thu hồi.

Trạng thái thời gian sử dụng exp và nbf với đồng hồ địa phương của bạn. Đồng hồ máy chủ bị lệch, thời gian gia hạn, thu hồi phiên và trạng thái mã thông báo làm mới có thể thay đổi kết quả thực.

Không hỗ trợ tại đây: xác minh chữ ký, nhập secret hoặc public key, tra cứu JWK/JWKS, OIDC discovery, OAuth introspection, giải mã JWE, phân tích nested JWT, tạo token và xác thực phía máy chủ.

Giới hạn & khả năng tương thích

Chỉ giải mã Base64URL — không xác minh chữ ký

Chỉ hỗ trợ JWT chuẩn 3 phần; không hỗ trợ JWE hoặc định dạng tùy chỉnh

JWT lồng nhau (JWT trong payload) không được xử lý

Trạng thái thời gian không phải là kiểm tra tính hợp lệ hoàn chỉnh. Mã thông báo có thể chưa hết hạn và vẫn bị máy chủ từ chối.

Trang này chỉ cung cấp các hành động sao chép. Nó không tải xuống, xuất, lưu hoặc chia sẻ các tệp mã thông báo đã giải mã.

Quyền riêng tư & bảo mật

Giải mã JWT chạy cục bộ trong trình duyệt. Token nhập vào có thể được giữ như bản nháp trong trình duyệt. Nếu bật không gian làm việc đã lưu hoặc đồng bộ WebDAV, token nhập vào có thể được lưu qua đồng bộ đó. Dữ liệu hiển thị Header, Payload, Signature, thẻ thời gian claim, lỗi phân tích, trạng thái sao chép và lịch sử hoàn tác đều được suy ra từ token hiện tại và không được lưu thành dữ liệu kết quả riêng. Công cụ này không xác minh chữ ký, không lấy JWKS hoặc URL, không tải token lên, không tạo tệp đính kèm và không tạo bản tải xuống tệp đã giải mã. Trên thiết bị dùng chung, hãy xóa token và dữ liệu trang khi hoàn tất.

Nếu mã thông báo chứa thông tin nhạy cảm, hãy sử dụng thiết bị riêng tư và xóa đầu vào sau khi kiểm tra.

Bắt đầu nhanh

Tình huống sử dụng phổ biến

Gỡ lỗi API

Kiểm tra hết hạn

Học JWT

So sánh môi trường

Gợi ý sử dụng

Hợp đồng giải mã

Ranh giới an ninh

Giới hạn & khả năng tương thích

Quyền riêng tư & bảo mật

Câu hỏi thường gặp

Tại sao hiển thị "Định dạng không hợp lệ"?

Hiển thị "Đã hết hạn" nhưng server vẫn chấp nhận?

Bắt đầu nhanh

Tình huống sử dụng phổ biến

Gỡ lỗi API

Kiểm tra hết hạn

Học JWT

So sánh môi trường

Gợi ý sử dụng

Hợp đồng giải mã

Ranh giới an ninh

Giới hạn & khả năng tương thích

Quyền riêng tư & bảo mật

Câu hỏi thường gặp

Tại sao hiển thị "Định dạng không hợp lệ"?

Hiển thị "Đã hết hạn" nhưng server vẫn chấp nhận?

Công cụ liên quan