Trình giải mã JWT trực tuyến

Giải mã JWT an toàn và chi tiết

Trình giải mã JWT giúp bạn xem nội dung bên trong token mà không cần gửi dữ liệu ra ngoài. Toàn bộ quá trình xử lý diễn ra trong trình duyệt của bạn.

Ví dụ cụ thể

Giả sử bạn có JWT sau:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Sau khi giải mã, bạn sẽ thấy header là {"alg":"HS256","typ":"JWT"} và payload là {"sub":"1234567890","name":"John Doe","iat":1516239022}. Chuỗi chữ ký gốc được hiển thị nguyên vẹn.

Các trường hợp lỗi được xử lý

• Thiếu một trong ba phần của JWT.
• Chuỗi Base64URL không hợp lệ.
• Dữ liệu không phải UTF-8 hợp lệ.
• Header hoặc payload không phải JSON hoặc không phải đối tượng.

Giới hạn và lưu ý

Công cụ này chỉ giải mã, không xác minh chữ ký, thuật toán, issuer, audience, key, trạng thái thu hồi hay quyền truy cập. Các claim hiển thị không đáng tin cậy. Vì JWT có thể chứa dữ liệu cá nhân hoặc thông tin xác thực, tránh dán token truy cập trực tiếp trên các thiết bị dùng chung hoặc bị theo dõi.

Câu hỏi thường gặp

1. Tôi có thể xem thời gian hết hạn (exp) của token không?

Có, nếu payload chứa trường exp, nó sẽ được hiển thị dưới dạng số nguyên (Unix timestamp). Tuy nhiên, công cụ không kiểm tra xem token đã hết hạn hay chưa; bạn phải tự đánh giá.

2. Tại sao kết quả hiển thị lỗi "Invalid JSON"?

Lỗi này xảy ra khi phần header hoặc payload không phải là chuỗi JSON hợp lệ sau khi giải mã Base64URL. Hãy kiểm tra lại token của bạn.

3. Công cụ có kiểm tra chữ ký không?

Không. Công cụ chỉ giải mã và hiển thị nội dung, không xác minh chữ ký hay tính toàn vẹn của token. Để xác minh, bạn cần sử dụng thư viện phù hợp với khóa bí mật hoặc khóa công khai.

Danh sách kiểm tra

• Đảm bảo JWT có đủ ba phần phân tách bằng dấu chấm.
• Kiểm tra độ dài token dưới 500.000 ký tự.
• Xác nhận header và payload là JSON hợp lệ.
• Hiểu rằng kết quả chỉ mang tính tham khảo, không xác thực token.