JWT парсер
Локально разбирает JWT, отдельно показывает структуру, временной статус Claims и результаты необязательной проверки подписи, использующей только секрет HS256.
Как использовать JWT анализатор
JWT и необязательный ключ проверки разбираются или проверяются только в текущем браузере, не загружаются и не сохраняются.
Вставьте тестовый токен
Используйте преимущественно обезличенные или специально созданные тестовые JWT, не вставляйте действующие токены доступа из рабочей среды.
Проверить состояния по отдельности
Проверьте, декодируется ли структура, временные статусы Claims и подпись; это независимые выводы.
Предоставить материалы для проверки
При необходимости предоставьте секрет HS256 для проверки подписи локально; для остальных алгоритмов выполняется только разбор структуры без проверки на этой странице.
Ограничения и примечания
- Возможность декодирования не означает действительность подписи, а действительность подписи не означает действительность данных о выдавшей стороне, аудитории или бизнес-правах.
- Страница не обращается к удалённому JWKS, спискам отзыва, состоянию сеанса или поставщику удостоверений.
- Разрешения для рабочей среды должны проверяться сервером в соответствии с полной политикой безопасности; нельзя полагаться на результат этой страницы.
Часто задаваемые вопросы
Почему Payload виден, но статус по-прежнему не подтверждён?
JWT Заголовок и полезная нагрузка используют обратимое кодирование Base64URL, поэтому их может прочитать любой; для проверки нужен доверенный ключ.
Означает ли отсутствие истечения срока действия exp, что токен можно использовать?
Не означает. Также необходимо проверить подпись, nbf, iss, aud, статус отзыва и фактические права в бизнес-логике.