JWT Decoder là gì?
JWT Decoder phân tích JSON Web Tokens thành ba phần để bạn có thể xem header, các claim trong payload, thuật toán và phần signature. Công cụ này hữu ích cho việc gỡ lỗi xác thực, kiểm tra thời hạn và hiểu token thực sự chứa gì mà không cần gửi đến máy chủ.
Cách sử dụng JWT Decoder
- Dán JWT vào vùng nhập.
- Xem lại các phần header và payload đã giải mã.
- Kiểm tra các claim như exp, iss, aud, sub và các trường tùy chỉnh.
- Sao chép các giá trị đã giải mã hoặc so sánh chúng với kỳ vọng của luồng xác thực.
Hiểu về JWT ▾
Ví dụ
Các trường hợp sử dụng phổ biến
- Kiểm tra claim của token khi gỡ lỗi API và xác thực
- Kiểm tra các giá trị expiry, issuer, audience và subject mà không cần công cụ backend
- Xác nhận thuật toán ký và cấu trúc token mà hệ thống đang dùng
- Giải thích cách các phần header, payload và signature của JWT kết hợp với nhau
Vì sao nên dùng công cụ này
- Giúp gỡ lỗi luồng đăng nhập, phân quyền API và các vấn đề hết hạn token.
- Giúp giải thích cấu trúc JWT cho đồng nghiệp và các bên liên quan dễ hơn.
- Chạy cục bộ nên token đã dán không bị tải lên trong quá trình kiểm tra.
Câu hỏi thường gặp
Có. Việc giải mã chạy hoàn toàn trong trình duyệt của bạn và token không bao giờ được gửi đến server. Tuy vậy, hãy tránh dán token production có claim nhạy cảm vào bất kỳ công cụ công khai nào trừ khi bạn chắc chắn công cụ đó chỉ chạy phía client.
Không. Xác minh chữ ký cần secret (HMAC) hoặc public key (RSA/EC). Công cụ này chỉ giải mã header và payload được mã hóa Base64URL; việc xác minh phải diễn ra trên server của bạn.
Claim exp là một Unix timestamp cho biết thời điểm token không còn hợp lệ. Nếu thời gian hiện tại đã qua timestamp đó, máy chủ sẽ từ chối token và bạn sẽ cần xác thực lại.
Cookie phiên lưu ID phiên trên máy chủ và tra cứu nó trong mỗi yêu cầu. JWT tự chứa: mọi claim nằm trong chính token, nên không cần lưu trữ phiên phía máy chủ. Điều này khiến JWT hữu ích trong các hệ thống phân tán, không trạng thái.