ถอดรหัส ตรวจสอบ และสร้าง JWT

คำแนะนำที่เกี่ยวข้อง

ถอดรหัส ตรวจสอบ และสร้าง JWT คืออะไร?

กรณีการใช้งาน

• ถอดรหัส JWT ออนไลน์: แยก Token อย่างรวดเร็วขณะดีบักการเข้าสู่ระบบ OAuth 2.0 / OIDC เพื่อดูอัลกอริทึม Header และ Claims ใน Payload
• ตรวจสอบลายเซ็น JWT: ใช้ Secret / คีย์สาธารณะเพื่อตรวจสอบลายเซ็น Token แบบเรียลไทม์ และตัดสินใจว่า 401 เกิดจาก 'ลายเซ็นผิด', 'หมดอายุ' หรือ 'อัลกอริทึมไม่ตรงกัน'
• สร้าง JWT ทดสอบระหว่างเชื่อมต่อ: ออก JWT บนเบราว์เซอร์ด้วยคู่คีย์ทดสอบ ไม่ต้องขอให้ Backend แก้โค้ดชั่วคราวเพื่อสร้าง Token
• แปลง PEM ↔ JWK: OIDC IdP ให้ JWK แต่เซิร์ฟเวอร์ต้องการ PEM (หรือกลับกัน) — แปลงทันทีโดยไม่ต้องเขียนสคริปต์ OpenSSL
• วินิจฉัย 401 Unauthorized: ตรวจสอบวันหมดอายุ, ความตรงกับ gateway ของ alg, ความตรงของคีย์ และการจัดรูปแบบ PEM ทีละขั้นตอน
• เปรียบเทียบ RS256 กับ PS256: ผู้ให้บริการ OIDC หลายรายใช้ RS256 เป็นค่าเริ่มต้น ในขณะที่ AWS SigV4 ใช้ PS256 — สลับอัลกอริทึมด้วยคู่คีย์ RSA เดียวกันและเปรียบเทียบผลลัพธ์
• เรียนรู้โครงสร้างภายใน JWT: เปลี่ยน alg, แก้ไข Payload, สลับคีย์บนเบราว์เซอร์และดูลายเซ็นพังแบบเรียลไทม์ — เร็วกว่าอ่าน RFC มาก

วิธีการใช้งาน

1. วางหรือป้อน Token: วางสตริง JWT ในช่องป้อนข้อมูล เครื่องมือจะแยก Header, Payload และ Signature อัตโนมัติ และแสดงแต่ละส่วนเป็น JSON ที่จัดรูปแบบสวยงาม
2. เลือกอัลกอริทึม: สลับระหว่าง HS256 / RS256 / ES256 / PS256 / EdDSA; เครื่องมือจะอนุมานจาก Header.alg และแจ้งเตือนหากไม่ตรงกัน
3. นำเข้าคีย์: วาง HMAC Secret, สตริง PEM หรือ JWK JSON; สำหรับอัลกอริทึมแบบอสมมาตร คลิก 'สร้างคู่คีย์' เพื่อรับคีย์ทดสอบทันที
4. ตรวจสอบหรือเซ็นใหม่: ในโหมด Decode ตรวจสอบด้วยคีย์สาธารณะและดู '✅ ลายเซ็นถูกต้อง / ❌ ลายเซ็นไม่ถูกต้อง'; ในโหมด Encode แก้ไข Claims และเซ็นด้วยคีย์ส่วนตัวเพื่อสร้าง Token ใหม่

Output Example

A real MP3 file encoded to a Data URI — copy-ready:

Header (Base64URL):  eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload(Base64URL):  eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphbmUgRG9lIiwiaWF0IjoxNzE2MjM5MDIyfQ
Signature:           kZJfaYjK3iCkVFL5EL9zGRZ5SmD8_x2h6B5c7pVFfVGo

ถอดรหัส Header:
  {
    "alg": "HS256",
    "typ": "JWT"
  }

ถอดรหัส Payload:
  {
    "sub": "1234567890",
    "name": "Jane Doe",
    "iat": 1716239022        // 2024-05-20 14:23:42 UTC
  }

คุณสมบัติ

• ถอดรหัส + ตรวจสอบ + สร้าง ในที่เดียว: วาง Token เพื่อแยก Header/Payload/Signature สลับอัลกอริทึมและคีย์เพื่อตรวจสอบลายเซ็น แก้ไข Claims และเซ็นใหม่เพื่อสร้าง Token ใหม่ — ครอบคลุมทุกขั้นตอนการแก้ปัญหา JWT
• รองรับ 13 อัลกอริทึม: HS256/HS384/HS512 (HMAC), RS256/RS384/RS512 (RSA-PKCS1-v1_5), ES256/ES384/ES512 (ECDSA), PS256/PS384/PS512 (RSA-PSS), EdDSA — ครอบคลุม OAuth 2.0, OIDC, JWS, API gateway และ SSO องค์กร
• รูปแบบ PEM และ JWK: คีย์ RSA, ECDSA และ Ed25519 รองรับสตริง PEM (พร้อมส่วนหัว -----BEGIN PUBLIC KEY-----) และ JWK JSON (ฟิลด์ kid/kty/n/e) — วางเอาต์พุต OIDC /.well-known/jwks.json ได้โดยตรง
• รูปแบบการป้อน HMAC Secret หลายแบบ: สตริง UTF-8, ไบต์ Hex หรือ Secret แบบ Base64/Base64URL — สลับได้ด้วยคลิกเดียว ไม่มีปัญหา 'ดูเหมือนเดิมแต่ลายเซ็นไม่ผ่าน'
• สร้างคู่คีย์อัตโนมัติ: สร้างคู่คีย์ RSA-2048, RSA-4096, P-256, P-384 และ Ed25519 บนเบราว์เซอร์ แสดงทั้งรูปแบบ PEM และ JWK สำหรับใช้งานทดสอบทันที
• เน้น Claims ตามความหมาย: แปลง exp / iat / nbf เป็นเวลาที่อ่านได้โดยอัตโนมัติ พร้อมเน้นสถานะ หมดอายุ / ยังไม่ใช้ได้ / ออกแล้ว; แยกแสดง alg / typ / kid ใน Header
• 100% ฝั่งไคลเอนต์ ไม่อัปโหลด: การแยกวิเคราะห์ ตรวจสอบ และเซ็นทั้งหมดทำงานผ่าน Web Crypto API ของเบราว์เซอร์ — Token, คีย์ และ payload ไม่เคยออกจากเบราว์เซอร์ สอดคล้องกับหลักการ 'ไม่วาง Token ผลิตในเครื่องมือออนไลน์ที่ไม่รู้จัก'
• คัดลอกด้วยคลิกเดียว: Header, Payload, Signature และ Token ที่สร้างใหม่สามารถคัดลอกแยกกันสำหรับเอกสาร,ตั๋ว และคำสั่ง curl

ตัวอย่างโค้ด

const crypto = require('node:crypto')

function b64url(input) {
  return Buffer.from(input)
    .toString('base64')
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}

function hmacSign(data, secret) {
  return b64url(crypto.createHmac('sha256', secret).update(data).digest())
}

function sign(payload, secret) {
  const header = b64url(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
  const body = b64url(JSON.stringify(payload))
  const signature = hmacSign(`${header}.${body}`, secret)
  return `${header}.${body}.${signature}`
}

function verify(token, secret) {
  const [h, p, s] = token.split('.')
  const expected = hmacSign(`${h}.${p}`, secret)
  const a = Buffer.from(s)
  const b = Buffer.from(expected)
  return a.length === b.length && crypto.timingSafeEqual(a, b)
}

const SECRET = 'my-super-secret-key'
const payload = { userId: 42, role: 'admin', exp: Math.floor(Date.now() / 1000) + 3600 }
const token = sign(payload, SECRET)

console.log(token)
console.log(verify(token, SECRET))       // true
console.log(verify(token, 'wrong-key'))  // false

<!doctype html>
<html>
  <body>
    <pre id="out"></pre>
    <script>
      const out = document.getElementById('out')

      const b64url = buf =>
        btoa(String.fromCharCode(...new Uint8Array(buf)))
          .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')

      const b64urlStr = str => b64url(new TextEncoder().encode(str))

      async function sign(payload, secret) {
        const header = b64urlStr(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
        const body = b64urlStr(JSON.stringify(payload))
        const data = new TextEncoder().encode(`${header}.${body}`)

        const key = await crypto.subtle.importKey(
          'raw',
          new TextEncoder().encode(secret),
          { name: 'HMAC', hash: 'SHA-256' },
          false,
          ['sign']
        )

        const sig = await crypto.subtle.sign('HMAC', key, data)
        return `${header}.${body}.${b64url(sig)}`
      }

      ;(async () => {
        const token = await sign({ user: 'alice', role: 'admin' }, 'browser-demo-secret')
        out.textContent = token
      })()
    </script>
  </body>
</html>

import { jwtVerify, importSPKI } from 'jose'
import { readFile } from 'node:fs/promises'

const token = 'eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ.payload.signature'
const publicKeyPem = await readFile('public.pem', 'utf8')

try {
  const { payload, protectedHeader } = await jwtVerify(
    token,
    await importSPKI(publicKeyPem, 'RS256'),
    {
      issuer: 'https://idp.example.com',
      audience: 'my-app',
      algorithms: ['RS256'],     // สำคัญ: รายการอนุญาตอัลกอริทึมบล็อกการโจมตี alg:none และแทนที่ HS256
    }
  )
  console.log('alg =', protectedHeader.alg)
  console.log('sub  =', payload.sub)
} catch (err) {
  console.error('verify failed:', err.code, err.message)
  // พบบ่อย: ERR_JWT_EXPIRED / ERR_JWS_INVALID / ERR_JWS_SIGNATURE_VERIFICATION_FAILED
}

import jwt

token = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.SflKxw'

# แยกวิเคราะห์ (ไม่ตรวจสอบลายเซ็น แค่ดู Header และ Payload)
print(jwt.get_unverified_header(token))
# {'alg': 'HS256', 'typ': 'JWT'}

print(jwt.decode(token, options={'verify_signature': False}))
# {'sub': '1234'}

# ตรวจสอบเต็มรูปแบบ
claims = jwt.decode(
    token,
    'my-super-secret-key',
    algorithms=['HS256'],
    audience='my-app',
    issuer='my-service',
)
print(claims['sub'])

เปรียบเทียบอัลกอริทึมลายเซ็น JWT 5 ประเภท: ควรเลือกอันไหน?

JWT ไม่ใช่อัลกอริทึมเดียว — 5 ประเภทของอัลกอริทึมมีข้อดีข้อเสียต่างกันในด้านกุญแจ ประสิทธิภาพ ความปลอดภัย และความเข้ากันได้ กำหนดสถานการณ์ก่อนแล้วค่อยเลือกอัลกอริทึมจะช่วยหลีกเลี่ยงการหลงทางได้มาก

Best Practices

คำถามที่พบบ่อย

การแก้ไขปัญหา

Privacy & Security

พื้นที่ทำงาน JWT นี้ทำงาน 100% ในเบราว์เซอร์ของคุณ รองรับโดย Web Crypto API ดั้งเดิมของเบราว์เซอร์ Token ที่คุณวาง, Header, Payload, Signature, HMAC Secret, คีย์ส่วนตัว RSA/ECDSA, คู่คีย์ที่สร้าง และการคำนวณลายเซ็น/ตรวจสอบทั้งหมดอยู่บนอุปกรณ์ของคุณ — ไม่ส่งไปเซิร์ฟเวอร์ ไม่บันทึก ไม่วิเคราะห์ และไม่แคช หน้าเว็บสามารถใช้แบบออฟไลน์ได้หลังจากโหลด วิธีปฏิบัติที่ดี: ห้ามวาง Token ผลิตที่มีอายุยาวหรือคีย์ส่วนตัวผลิตในเครื่องมือออนไลน์ใดๆ รวมถึงเครื่องมือนี้ เครื่องมือนี้เหมาะสำหรับการดีบัก ทดสอบเชื่อมต่อ เรียนรู้ และสร้าง Token ทดสอบ — Secret ผลิตและคีย์ส่วนตัวควรจัดการในสภาพแวดล้อมท้องถิ่นที่ควบคุม

Supported Video Formats

Authoritative References

• IETFRFC 7519: JSON Web Token (JWT)
• IETFRFC 7515: JSON Web Signature (JWS)
• IETFRFC 7517: JSON Web Key (JWK)
• Auth0JWT.io — ตัวดีบักอย่างเป็นทางการและดัชนีไลบรารี
• OWASPOWASP JSON Web Token Cheat Sheet
• IETFภาพรวมกลุ่มทำงาน JOSE