Trình xác minh chữ ký JWT
Xác minh chữ ký JWT ngay trên trình duyệt bằng secret hoặc khóa công khai, đồng thời tùy chọn kiểm tra issuer, audience, thời điểm hết hạn và có hiệu lực.
Trình xác minh chữ ký JWTDán compact JWT đã ký gồm đúng ba phần, phân tách bằng dấu chấm.Nhập secret HMAC, khóa công khai SPKI PEM hoặc JWK công khai tương ứng.Tùy chọn đặt issuer, audience và dung sai đồng hồ mong đợi.Xác minh rồi xem thuật toán, định dạng khóa, Header và Claims nhưng không coi đó là cấp quyền.
Bắt đầu nhanh
1
2
3
4
Tình huống sử dụng phổ biến
Gỡ lỗi API
kiểm tra token và khóa đã biết có tạo chữ ký hợp lệ không.
Chuyển đổi
xác nhận token khi thay khóa HS, RS, PS hoặc ES.
Ghép khóa
kiểm tra khóa công khai có tương ứng với token đã ký không.
Claims
so sánh iss, aud, exp và nbf với giá trị tích hợp mong đợi.
Gợi ý sử dụng
Lấy khóa qua kênh đáng tin và xác nhận issuer cùng audience mà backend mong đợi.
Coi secret HMAC và token là dữ liệu nhạy cảm; xóa sau khi dùng, nhất là trên thiết bị dùng chung.
Chỉ dùng kiểm tra này để chẩn đoán. Backend vẫn phải áp dụng cấp quyền, thu hồi, phiên và quy tắc nghiệp vụ.
Phạm vi xác minh
Dữ liệu vào phải là compact JWS JWT ba phần: header.payload.signature. JWE năm phần và định dạng lồng hoặc tùy chỉnh không được hỗ trợ.
Họ khóa và thuật toán mong đợi được chọn độc lập. header.alg không thay đổi lựa chọn và cả ba phải khớp. HS dùng UTF-8 hoặc Base64URL; RS/PS/ES dùng SPKI PEM hoặc JWK công khai.
Công cụ kiểm tra chữ ký, exp và nbf; chỉ kiểm tra iss hoặc aud khi bạn nhập giá trị mong đợi. Dung sai áp dụng cho thời gian.
Ranh giới bảo mật
Chữ ký hợp lệ chỉ cho biết byte khớp khóa và thuật toán đã cung cấp; không xác định nguồn khóa hay mức độ tin cậy của issuer.
Không kiểm tra scopes, vai trò, quyền, thu hồi, đăng xuất, phiên, nonce, azp, chính sách subject hoặc quy tắc nghiệp vụ và không cấp quyền truy cập.
Xác nhận riêng khóa, issuer, audience và chính sách thuật toán. Một cặp token-khóa sai nhưng tự khớp vẫn có thể vượt qua.
Không hỗ trợ JWE, phát hành hoặc ký, khóa riêng, chứng chỉ X.509, EdDSA, JWK sets/JWKS, khám phá OIDC, lấy khóa từ xa và introspection máy chủ.
Giới hạn & khả năng tương thích
Chỉ compact JWS JWT ba phần đã ký; không nhận JWE năm phần được mã hóa.
Chỉ HS, RS, PS và ES được hỗ trợ; alg none và EdDSA bị từ chối.
Chỉ một khối SPKI PUBLIC KEY PEM hoặc một JWK công khai, không nhận khóa riêng, chứng chỉ, JWKS hay URL khóa.
Không truy cập mạng, OIDC, làm mới JWKS, thu hồi, phát hành, ký, tải xuống hay chia sẻ kết quả.
Quyền riêng tư & bảo mật
Việc phân tích và xác minh được thực hiện cục bộ trong trình duyệt. Token, secret, PEM/JWK, issuer, audience và kết quả không được tải lên hoặc lưu vào URL, Workspace hay WebDAV. Khi bật đồng bộ WebDAV, chỉ bốn tùy chọn không nhạy cảm có thể được đồng bộ: thuật toán mong đợi, loại khóa, cách mã hóa secret và dung sai đồng hồ.
Dùng thiết bị riêng, xóa các trường sau khi dùng và tránh tiện ích không đáng tin hoặc chia sẻ màn hình.
Câu hỏi thường gặp
API có thể yêu cầu issuer hoặc audience khác, từ chối thuật toán, hoặc kiểm tra scopes, vai trò, thu hồi, phiên, nonce, azp và quy tắc khác.
Không. Công cụ không gọi mạng và với RS/PS/ES chỉ nhận SPKI PUBLIC KEY PEM hoặc JWK công khai. JWKS, OIDC, X.509 và chọn khóa từ xa không được hỗ trợ.