Untangle Your Tokens: Master JWT Decoding & Verification
Token JSON Web Token (JWT) đóng vai trò như hộ chiếu điện tử của thế giới web hiện đại, nhưng định dạng nén của chúng thoạt nhìn trông như một chuỗi ký tự vô nghĩa. Trình giải mã và tạo JWT miễn phí của công cụ của chúng tôi giúp bạn nhìn xuyên thấu vào bên trong chuỗi token này: Dán bất kỳ token nào để xem nội dung dạng văn bản rõ ràng, kiểm tra chữ ký mật mã hoặc tạo token thử nghiệm cho dự án của bạn.
The Three-Part Anatomy of a JWT
Mỗi chuỗi JWT bao gồm ba phần riêng biệt ngăn cách nhau bởi các dấu chấm:
- Header (Tiêu đề): Khai báo loại token và thuật toán mật mã được sử dụng (thường là HS256).
- Payload (Nội dung tải): Chứa các thông tin thực tế (claims) như mã người dùng, quyền hạn và thời hạn hết hạn.
- Signature (Chữ ký số): Chuỗi mật mã chứng minh token không bị can thiệp chỉnh sửa sau khi phát hành.
Decoding vs. Verifying: Know the Difference
Sự phân biệt này có ý nghĩa sống còn đối với kiến trúc an ninh mạng: Bất kỳ ai cũng có thể giải mã một token, nhưng chỉ người nắm giữ khóa bí mật mới có thể xác thực nó.
- Giải mã (Decoding): Chuyển đổi chuỗi Base64url thành văn bản đọc được. Không cần khóa bí mật.
- Xác thực (Verifying): Tính toán lại chữ ký mật mã để bảo đảm không có kẻ gian nào tự ý thay đổi User ID hoặc tự cấp quyền Quản trị viên khi truyền tải qua mạng.
Nguyên tắc vàng: Không bao giờ chấp nhận xử lý một yêu cầu quan trọng mà chưa xác thực chữ ký mật mã của token.
Common Claims You'll See
| Trường tiêu chuẩn | Ý nghĩa chính thức |
|---|---|
sub | Đối tượng (Mã định danh duy nhất của người dùng) |
iss | Bên phát hành (Máy chủ hoặc tổ chức cấp token) |
exp | Thời điểm hết hạn (Timestamp Unix) |
iat | Thời điểm cấp phát (Issued At) |
aud | Đối tượng tiếp nhận (Khán giả được ủy quyền sử dụng token) |
Real-World Debugging with JWTs
Khắc phục lỗi HTTP 401 Unauthorized: Kiểm tra trường exp để xem token có bị hết hạn vài phút trước hay không.
Phát triển dự án cục bộ: Tự tạo các token thử nghiệm với phân quyền khác nhau để kiểm thử tính năng phân quyền mà không cần dựng máy chủ đăng nhập phức tạp.
Kiểm tra an toàn dữ liệu: Đảm bảo đồng nghiệp của bạn không vô tình lưu thông tin thẻ tín dụng hay mật khẩu người dùng vào trong phần Payload.
Private and Secure
Bảo mật khóa bí mật là ưu tiên hàng đầu. Toàn bộ việc giải mã và tính toán chữ ký đều được thực thi độc lập bên trong trình duyệt của bạn. Chúng tôi không bao giờ lưu trữ hay chuyển tiếp dữ liệu của bạn lên máy chủ.