Puffinmint
DE
Italiano English Español Français Deutsch Português (Brasil) 日本語 한국어 Polski Türkçe

JWT-Decoder

Lies JSON-Header und Payload eines JWT lokal ohne Übertragung des Tokens.

Lies JWT-Header und Payload im Browser. Das Dekodieren prüft weder die Signatur noch die Gültigkeit des Tokens.

Deine Eingaben bleiben hierPUFFINMINT

Daten einstellen

Daten einstellen

Füge ein kompaktes JWT mit drei Teilen ein. Dieses Werkzeug dekodiert: Es prüft NICHT die Signatur und authentifiziert NICHT das Token.

Ergebnis

Gib die Daten ein und starte das Werkzeug. Das Ergebnis erscheint hier.

Deine Eingaben bleiben auf dieser Seite. Beim Neuladen oder Schließen werden sie gelöscht.

Wir zählen die meistgenutzten Werkzeuge, ohne Eingabewerte oder Dateiinhalte in die Statistik aufzunehmen. Datenschutz

Wann ein JWT-Decoder hilft

Der Decoder hilft beim Debuggen von Anwendungen und Schnittstellen, die enthaltenen Felder zu sehen. Auch bei einem signierten JWT kann der Payload lesbar sein: Base64url-Kodierung ist keine Verschlüsselung.

Token Schritt für Schritt dekodieren

  1. Füge nur das Token ohne den Präfix Bearer ein.
  2. Starte das Dekodieren, um die beiden JSON-Objekte zu lesen.
  3. Vergleiche die Claims mit den Erwartungen der Anwendung; für exp nutze den Zeitstempel-Konverter mit Sekunden.

So werden Header und Payload gelesen

Der Parser erwartet drei durch Punkte getrennte Teile. Er dekodiert Header und Payload von Base64url zu UTF-8, prüft auf JSON-Objekte und formatiert sie. Der dritte Teil wird nicht verifiziert; eine leere Signatur kann syntaktisch akzeptiert werden.

Claims als ungeprüfte Angaben verstehen

Die Ausgabe enthält header und payload. Ihre Felder sind Angaben des Tokens und können verändert worden sein. Ein lesbares exp-Datum beweist weder Echtheit noch Zugriffsberechtigung.

Angaben im Payload
FeldAllgemeine Bedeutung
subKennung des Subjekts
expAngegebenes Ablaufdatum in Unix-Sekunden
iss / audVorgesehener Aussteller und Zielgruppe

Beispiel mit einem Demonstrationstoken

Ein unsigniertes Token zum Verständnis des Formats

Eingabe
eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIiwiZXhwIjoxNzA0MDY3MjAwfQ.
Ergebnis
{"header":{"alg":"none"},"payload":{"sub":"demo","exp":1704067200}}

Das Beispiel nutzt alg=none und eine leere Signatur. Es zeigt sub=demo und exp=1704067200, also den 1. Januar 2024 um 00:00 UTC. Der Decoder zeigt den Wert, ohne über den Ablauf des Tokens zu entscheiden.

Grenzen und nicht ausgeführte Prüfungen

Das Limit beträgt 16.000 Zeichen. Verschlüsselte fünfteilige JWE und Payloads ohne JSON-Objekt werden nicht unterstützt. Werte bleiben bis zum Neuladen in der Seite und gehen nicht an den Konvertierungsdienst. HTML in Claims wird als Text dargestellt und nicht ausgeführt.

Quellen und Dokumentation

Häufige Fragen

Darf ich nach erfolgreichem Dekodieren Zugriff erlauben?

Nein. Die Anwendung muss Signatur, erlaubten Algorithmus, Aussteller, Zielgruppe und Zeitvorgaben nach ihrem Protokoll prüfen. Diese Prüfungen führt der Decoder nicht aus.

Warum lässt sich ein verschlüsseltes Token nicht öffnen?

Ein JWE muss mit den passenden Schlüsseln entschlüsselt werden. Dieses Werkzeug liest nur das dreiteilige kompakte Format und entschlüsselt keine Tokens.

Das könnte dir auch helfen

Alle ansehen

Unix-Timestamp-Konverter

Konvertiere Unix-Timestamps in UTC-Daten und zurück, in Sekunden oder Millisekunden.

JSON-Formatierer

Formatiere oder minimiere JSON ohne Zahlen oder doppelte Schlüssel zu verändern. Verarbeitung im Browser: 1 Million Eingabezeichen, 100 Ebenen, 4 Millionen Ausgabezeichen.

Base64-Konverter

Kodiere und dekodiere UTF-8-Text mit Base64 oder Base64url. Text bis 200.000 Zeichen, Base64 bis 1 Million. Keine Binärdateien.

Favoriten