JWT-Decoder

Ein JSON Web Token (JWT, definiert in RFC 7519) ist eine kompakte, URL-sichere Möglichkeit, eine Reihe von Claims über einen Benutzer darzustellen, mit kryptografischem Nachweis, dass diese Claims nicht manipuliert wurden. JWTs treiben die Authentifizierung in den meisten modernen Web-Stacks an: Wenn Sie sich anmelden, erstellt der Server einen JWT, der Ihre Benutzer-ID und Berechtigungen enthält, signiert ihn mit einem geheimen Schlüssel und gibt ihn an Sie zurück. Ihr Browser speichert das Token (üblicherweise in localStorage oder in einem Cookie) und fügt es bei jeder nachfolgenden Anfrage in den Authorization-Header ein. Der Server überprüft die Signatur bei jeder Anfrage: Ist sie gültig, wird den Claims des Tokens vertraut; wurde es manipuliert, bricht die Signatur und die Anfrage wird abgelehnt. JWTs bestehen aus drei Teilen, die in Base64URL codiert und durch Punkte getrennt sind: Der Header deklariert den Signaturalgorithmus (HS256 für HMAC-SHA256, RS256 für RSA, ES256 für ECDSA, none für unsignierte Tokens, was gefährlich ist und die Sie ablehnen sollten); die Payload enthält die eigentlichen Claims (Standard-Claims wie 'sub' für das Subjekt, 'exp' für das Ablaufdatum, 'iat' für das Ausstellungsdatum sowie alle benutzerdefinierten Claims, die Ihre Anwendung definiert); die Signatur ist der Nachweis, dass Header und Payload von jemandem signiert wurden, der das Geheimnis besaß. Dieser Decoder enthüllt die ersten beiden Teile, bei denen es sich um öffentliche Informationen handelt; die Signatur kann nur mit dem Schlüssel überprüft werden, weshalb jeder JWT-Decoder die Claims ohne Verifizierung anzeigt.