Разбор JWT
Заголовок, данные и сроки токена. Токен остаётся в браузере.
Токен
Подпись не проверяется: для проверки нужен секрет или открытый ключ, вставлять их на чужие сайты не стоит.
Как устроен JWT
JWT состоит из трёх частей через точку: заголовок, данные и подпись, первые две записаны в Base64URL. Страница декодирует их, показывает JSON с отступами и переводит сроки exp, iat и nbf в дату в вашем часовом поясе.
Подпись страница не проверяет: для этого нужен секрет или открытый ключ сервера. Токен разбирается в браузере и на сервер не уходит.
Частые вопросы
- Можно ли расшифровать JWT без ключа?
- Заголовок и данные читаются без ключа, они только закодированы. Ключ нужен, чтобы проверить подпись или выпустить новый токен.
- Безопасно ли вставлять токен в онлайн-декодер?
- Действующий токен даёт доступ к аккаунту, пока не истечёт срок. Здесь разбор идёт в браузере, но в чужие декодеры, которые отправляют токен на сервер, его лучше не вставлять.