Декодер JWT

JSON Web Token — это три сегмента, закодированных в Base64URL и соединённых точками: заголовок, описывающий алгоритм подписи и тип токена, payload, содержащий сами клеймы — кого идентифицирует токен, когда он истекает, какие права даёт, — и подпись, вычисленная по первым двум сегментам с помощью секрета или приватного ключа. Декодирование, которым занимается этот инструмент, означает Base64URL-декодирование первых двух сегментов обратно в читаемый JSON; о третьем сегменте инструмент не говорит ничего, кроме как показывает его исходное закодированное значение, потому что для проверки подписи нужен настоящий секрет подписи, а инструмент в браузере никогда не должен просить вас его вставить.

Это различие — декодирование против проверки — самое важное, что нужно понимать об инструменте для отладки JWT. Декодирование показывает, что токен *утверждает*; проверка показывает, можно ли этим утверждениям доверять, подтверждая, что подпись создана ожидаемым издателем. Токен может прекрасно декодироваться и показывать payload с заявлением о правах администратора, будучи при этом полностью поддельным, если никто и никогда не сверяет подпись с настоящим ключом подписи.

Заголовок и payload закодированы, а не зашифрованы — Base64URL является обратимым преобразованием без какого-либо секрета, поэтому любой, кто получит токен — перехватив сетевой трафик, прочитав хранилище браузера или получив его напрямую, — может декодировать payload и прочитать каждый клейм внутри без какого-либо ключа. Именно поэтому стандартная рекомендация — ограничивать payload JWT идентификаторами и нечувствительными клеймами: ID пользователя, роль, время истечения — и никогда не помещать пароль, номер банковской карты или другие конфиденциальные данные напрямую в токен, потому что формат токена сам по себе не обеспечивает никакой конфиденциальности.

Стандартные клеймы времени хранятся как Unix-время — обычное целое число, считающее секунды с 1 января 1970 года, — что удобно для сравнения машинами, но нечитаемо с первого взгляда для человека, отлаживающего токен глазами. Перевести `1735689600` в «1 января 2025, 00:00:00 UTC» вручную — это как раз тот вид мелкой, подверженной ошибкам арифметики, которую легко сделать неправильно под давлением времени, особенно при работе с разными часовыми поясами. Отображение всех трёх клеймов как настоящих локальных дат и прямое указание, истёк ли токен, действителен ли он сейчас или ещё не активен, превращает отладочную сессию, которая иначе потребовала бы побочных вычислений, в мгновенный читаемый ответ.