JWT состоит из трёх частей: заголовка, полезной нагрузки и подписи. Первые две части закодированы Base64URL и легко читаются без секретного ключа.
Декодер показывает header и payload, а также проверяет срок действия по полям exp и nbf. Подпись не проверяется: для этого нужен ключ и серверная логика.
Как работает
Токен разбивается по точкам, части декодируются из Base64URL в UTF-8 и разбираются как JSON. Время exp сравнивается с текущим временем. Если поле отсутствует, срок действия не определён.
Не вставляйте в декодер настоящие секреты и токены с широкими правами. Даже без проверки подписи payload раскрывает данные.
Частые вопросы
Проверяется ли подпись токена?
Нет. Инструмент только декодирует данные. Проверка подписи требует секрета или публичного ключа и выполняется на сервере.
Что означает exp?
Это время истечения в Unix-секундах. Если оно меньше текущего времени, токен просрочен.
Можно ли доверять данным из payload?
Только после проверки подписи. Без неё payload может быть изменён.