JWT टोकन डिकोड करें

यह कैसे काम करता है

एक JWT (JSON Web Token) तीन हिस्सों से बना होता है, जो बिंदुओं (डॉट) से अलग होते हैं: header.payload.signature। Header और payload सिर्फ़ Base64URL में एन्कोड होते हैं — एन्क्रिप्टेड नहीं — यानी कोई भी इनकी सामग्री बिना कुंजी या पासवर्ड के देख सकता है। यही इस टूल का सामान्य उपयोग है: किसी API से लौटा ऑथेंटिकेशन टोकन पेस्ट करें और डीबग करते समय जल्दी से देखें कि उसमें असल में क्या है (समाप्ति तिथि exp, यूज़र की भूमिका, आईडी आदि), बिना कोई कोड लिखे या बैकएंड खड़ा किए।

मैंने टोकन को हाथ से बदला, फिर भी वह "काम" क्यों कर रहा है?

क्योंकि यह टूल सिग्नेचर की जाँच नहीं करता: यह किसी भी इंस्पेक्शन टूल की तरह सिर्फ़ header और payload का Base64URL डिकोड करता है। सही ढंग से कॉन्फ़िगर किया गया सर्वर सामग्री से सिग्नेचर दोबारा गणना करेगा और उसकी तुलना टोकन में दिए गए सिग्नेचर से करेगा — सही सीक्रेट कुंजी के बिना बदला गया payload उसी समय अस्वीकार हो जाएगा, भले ही वह यहाँ पूरी तरह डिकोड हो जाए।

Payload में exp फ़ील्ड का क्या मतलब है?

exp ("समाप्ति") एक Unix टाइमस्टैम्प (1970 से सेकंड) है, जिसके बाद टोकन को समाप्त माना जाना चाहिए। JWT मानक का पालन करने वाला सर्वर ऐसे हर अनुरोध को अस्वीकार कर देगा जिसमें मौजूदा समय इस मान से आगे निकल चुका हो, चाहे उसके सिग्नेचर की वैधता कुछ भी हो।

गोपनीयता: डिकोडिंग पूरी तरह आपके ब्राउज़र में WebAssembly के ज़रिए होती है — आपके टोकन की सामग्री, संवेदनशील डेटा होने पर भी, आपके डिवाइस से बाहर नहीं जाती।