JWT डिकोडर

कोई JSON Web Token डॉट से जुड़े Base64URL-एनकोडेड तीन सेगमेंट हैं: एक हेडर जो सिग्नेचर एल्गोरिदम और टोकन के प्रकार का वर्णन करता है, एक पेलोड जिसमें असली क्लेम हैं — टोकन किसे पहचानता है, यह कब एक्सपायर होता है, यह क्या परमिशन देता है — और एक सिग्नेचर जो किसी सीक्रेट या प्राइवेट की का इस्तेमाल करते हुए पहले दो सेगमेंट पर कैलकुलेट होता है। डिकोड करना, जो यह टूल करता है, का मतलब है पहले दो सेगमेंट को Base64URL में वापस पढ़ने लायक़ JSON में डिकोड करना; यह तीसरे सेगमेंट के बारे में उसकी कच्ची एनकोडेड वैल्यू दिखाने के अलावा कुछ नहीं बताता, क्योंकि उस सिग्नेचर को वेरिफ़ाई करने के लिए असली सिग्नेचर सीक्रेट चाहिए, जिसे किसी ब्राउज़र-आधारित टूल को कभी आपसे पेस्ट करने को नहीं कहना चाहिए।

यह फ़र्क़ — डिकोड करना बनाम वेरिफ़ाई करना — किसी JWT डीबगिंग टूल के बारे में समझने की सबसे मायने वाली चीज़ है। डिकोड करना बताता है कि कोई टोकन *क्या दावा करता है*; वेरिफ़ाई करना बताता है कि उन दावों पर *भरोसा किया जा सकता है* या नहीं, यह पुष्टि करते हुए कि सिग्नेचर उम्मीद वाले जारीकर्ता ने बनाई। कोई टोकन एकदम सही तरीक़े से डिकोड हो सकता है और एडमिन एक्सेस का दावा करता पेलोड दिखा सकता है जबकि वह पूरी तरह जाली हो, अगर कुछ भी कभी उस सिग्नेचर को असली सिग्नेचर की के ख़िलाफ़ नहीं जाँचता।

हेडर और पेलोड एनकोडेड हैं, एन्क्रिप्टेड नहीं — Base64URL बिना किसी सीक्रेट के एक पलटने लायक़ ट्रांसफ़ॉर्मेशन है, तो कोई भी जो किसी टोकन को पाता है, चाहे वह नेटवर्क ट्रैफ़िक इंटरसेप्ट करके, ब्राउज़र स्टोरेज पढ़कर, या इसे सीधे पाकर, वह बिना किसी की की ज़रूरत के पेलोड डिकोड कर सकता है और उसके अंदर हर क्लेम पढ़ सकता है। यही ठीक वजह है कि मानक सलाह है JWT पेलोड को आइडेंटिफ़ायर और ग़ैर-संवेदनशील क्लेम तक सीमित रखना — कोई यूज़र ID, कोई भूमिका, कोई एक्सपायरेशन समय — और कभी भी पासवर्ड, क्रेडिट कार्ड नंबर, या दूसरा गोपनीय डेटा सीधे टोकन के अंदर न रखना, क्योंकि टोकन फ़ॉर्मेट अपने आप में कोई गोपनीयता नहीं देता।

स्टैंडर्ड टाइमस्टैंप क्लेम Unix समय के रूप में स्टोर होते हैं — 1 जनवरी 1970 से सेकंड गिनने वाला एक सादा इंटीजर — जो मशीनों की तुलना के लिए कुशल है लेकिन किसी टोकन को आँखों से डीबग कर रहे इंसान के लिए एक नज़र में अपठनीय है। `1735689600` को हाथ से "1 जनवरी 2025, 00:00:00 UTC" में बदलना ठीक उसी तरह की छोटी और ग़लती-होने-योग्य गणित है जो समय के दबाव में ग़लत होना आसान है, ख़ास तौर पर टाइम ज़ोन के बीच। तीनों क्लेम को असली लोकल तारीख़ों के रूप में दिखाना, और सीधे यह बताना कि टोकन अभी एक्सपायर हो चुका है, वैध है, या अभी सक्रिय नहीं है, किसी डीबगिंग सेशन को, जो वरना एक अतिरिक्त गणित लेता, एक तुरंत और पढ़ने लायक़ जवाब में बदल देता है।