JWT का हेडर और पेलोड डिकोड करें, क्लेम और एक्सपायरी जाँचें — टोकन आपके ब्राउज़र से बाहर गए बिना।
JSON Web Token (JWT, RFC 7519) डॉट से अलग हुए तीन Base64URL-एनकोडेड हिस्से हैं: हेडर, जो साइनिंग एल्गोरिद्म बताता है; पेलोड, जो क्लेम ढोता है — टोकन किसने जारी किया, किसके लिए, और कब तक मान्य है — और सिग्नेचर। JWT ही OAuth 2.0 और OpenID Connect की मानक bearer क्रेडेंशियल है, इसीलिए लॉगिन फ़्लो या API इंटीग्रेशन की डिबगिंग अक्सर इसी सवाल से शुरू होती है: इस टोकन के अंदर आख़िर है क्या?
यह डिकोडर टोकन को डॉट्स पर तोड़ता है, Base64URL पैडिंग बहाल करता है, हर हिस्से को UTF-8 में डिकोड करता है और JSON को सुंदर ढंग से दिखाता है। यह पंजीकृत क्लेम — iss (issuer), sub (subject), aud (audience), iat (issued at), nbf (not before) और exp (expiration) — को हाइलाइट करता है और उन संख्यात्मक टाइमस्टैम्पों को, जो Unix epoch से सेकंड गिनते हैं, पढ़ने लायक़ UTC तारीख़ों में बदल देता है। एक्सपायरी की तुलना आपकी घड़ी से भी होती है, इसलिए स्टेटस एक नज़र में बता देता है कि टोकन अब भी मान्य है और कब तक, या कितनी देर पहले एक्सपायर हुआ। ग़लत इनपुट पर रहस्यमय exception के बजाय साफ़, दोस्ताना त्रुटि मिलती है।
एक बात जितनी ज़ोर से कही जा सके कहनी चाहिए: JWT को डिकोड करना उसे वैलिडेट करना नहीं है। हेडर और पेलोड महज़ Base64URL-एनकोडेड हैं — कोई भी उन्हें पढ़ सकता है और कोई भी गढ़ सकता है। केवल सिग्नेचर, जारीकर्ता की सीक्रेट या पब्लिक की से जाँचा हुआ, टोकन की प्रामाणिकता साबित करता है — और यह टूल जान-बूझकर वह नहीं करता: सिग्नेचर सत्यापन आपके सर्वर पर, ठीक-ठाक JWT लाइब्रेरी से होना चाहिए। इसी वजह से JWT पेलोड में पासवर्ड या दूसरे सीक्रेट कभी न रखें — एनकोडेड का मतलब एन्क्रिप्टेड नहीं। आप जो टोकन यहाँ पेस्ट करते हैं वह पूरी तरह आपके ब्राउज़र में डिकोड होता है और कभी भेजा नहीं जाता, फिर भी प्रोडक्शन टोकनों को क्रेडेंशियल की तरह ही सँभालें।
नहीं — यह केवल हेडर और पेलोड डिकोड करता है, और हर नतीजे पर यही कहता भी है। डिकोड हुआ टोकन प्रामाणिकता के बारे में कुछ साबित नहीं करता: किसी भी क्लेम पर भरोसा करने से पहले अपने सर्वर पर जारीकर्ता की की और ठीक-ठाक JWT लाइब्रेरी से सिग्नेचर सत्यापित करें।
नहीं। मानक साइन किए JWT (JWS) में हेडर और पेलोड केवल Base64URL-एनकोडेड होते हैं, टोकन रखने वाला कोई भी उन्हें पढ़ सकता है। एन्क्रिप्टेड JWT (JWE) होते तो हैं पर दुर्लभ हैं; सामान्य JWT पेलोड में सीक्रेट कभी न रखें।
ये Unix epoch से सेकंडों में टाइमस्टैम्प हैं: iat बताता है कि टोकन कब जारी हुआ, nbf वह क्षण है जिससे पहले उसे अस्वीकार करना है, और exp बताता है कि वह कब एक्सपायर होता है। यह टूल तीनों को पढ़ने लायक़ UTC तारीख़ों में बदलता है और एक्सपायरी की स्थिति आपके लिए निकाल देता है।
सबसे आम वजहें: ऐसा कुछ पेस्ट करना जो कॉम्पैक्ट JWT नहीं है (उसमें डॉट से अलग हुए ठीक तीन हिस्से होने चाहिए), कॉपी-पेस्ट में कटा टोकन, या उसके इर्द-गिर्द अतिरिक्त कैरेक्टर। "Bearer " प्रीफ़िक्स अपने आप सँभाल लिया जाता है; टोकन के आस-पास बाक़ी कुछ भी नहीं।
नहीं। डिकोडिंग 100% लोकली JavaScript में होती है — टोकन कभी भेजा, लॉग या स्टोर नहीं होता। फिर भी, प्रोडक्शन JWT एक जीवित क्रेडेंशियल है: उसके स्क्रीनशॉट साझा करने से बचें और जिन टोकनों के उजागर होने का शक हो उन्हें निरस्त करें।
Vai.la किसी भी URL को क्लिक आंकड़ों, QR Code और आपके अपने बायोलिंक के साथ एक शॉर्ट लिंक में बदल देता है।
टूल्स का इस्तेमाल कैसे होता है या उनके परिणामों के आधार पर लिए गए निर्णयों के लिए Vai.la ज़िम्मेदार नहीं है।