Công cụ JWT

Đề xuất Liên quan

Trường hợp sử dụng

• Giải mã JWT trực tuyến: tách nhanh token trong khi gỡ lỗi đăng nhập OAuth 2.0 / OIDC để kiểm tra thuật toán Header và Claims Payload
• Xác minh chữ ký JWT: sử dụng Secret / khóa công khai để xác minh chữ ký token theo thời gian thực và quyết định xem 401 là 'chữ ký xấu', 'đã hết hạn' hay 'thuật toán không khớp'
• Tạo JWT kiểm tra trong khi tích hợp: phát hành JWT trong trình duyệt với cặp khóa kiểm tra, không cần backend tạm thời thay đổi mã để phát hành token
• Chuyển đổi PEM ↔ JWK: OIDC IdP cho bạn JWK nhưng máy chủ cần PEM (hoặc ngược lại) — chuyển đổi tại chỗ thay vì viết script OpenSSL
• Chẩn đoán 401 Unauthorized: kiểm tra từng bước thời hạn hết hạn, khớp alg với cổng, khớp khóa và định dạng PEM
• So sánh RS256 và PS256: nhiều nhà cung cấp OIDC mặc định sử dụng RS256 trong khi AWS SigV4 ưu tiên PS256 — chuyển đổi thuật toán với cùng cặp khóa RSA và so sánh kết quả
• Học cơ chế nội bộ JWT: thay đổi alg, sửa Payload, đổi khóa trong trình duyệt và xem chữ ký bị phá vỡ theo thời gian thực — nhanh hơn nhiều so với đọc RFC

Tính năng

• Giải mã + Xác minh + Tạo trong một nơi: dán token để tách Header/Payload/Signature, đổi thuật toán và khóa để xác minh chữ ký, sửa Claims và ký lại để tạo token mới — bao phủ toàn bộ chuỗi xử lý sự cố JWT
• Hỗ trợ tất cả 13 thuật toán: HS256/HS384/HS512 (HMAC), RS256/RS384/RS512 (RSA-PKCS1-v1_5), ES256/ES384/ES512 (ECDSA), PS256/PS384/PS512 (RSA-PSS), EdDSA — bao phủ OAuth 2.0, OIDC, JWS, cổng API và SSO doanh nghiệp
• Định dạng PEM và JWK: khóa RSA, ECDSA và Ed25519 chấp nhận chuỗi PEM (với tiêu đề -----BEGIN PUBLIC KEY-----) và JSON JWK (trường kid/kty/n/e) — chèn trực tiếp đầu ra OIDC /.well-known/jwks.json
• Nhiều dạng nhập Secret HMAC: chuỗi UTF-8 thô, byte hex hoặc mã hóa Base64/Base64URL — chuyển đổi bằng một cú nhấp chuột, để không bao giờ xảy ra 'trông giống nhau nhưng chữ ký thất bại'
• Tạo cặp khóa tự động: cặp khóa RSA-2048, RSA-4096, P-256, P-384 và Ed25519 được tạo trong trình duyệt, trình bày ở định dạng PEM và JWK để sử dụng kiểm tra ngay lập tức
• Tô sáng ngữ nghĩa Claims: exp / iat / nbf tự động chuyển đổi sang thời gian dễ đọc với trạng thái đã hết hạn / chưa hợp lệ / đã phát hành được tô sáng; alg / typ / kid trong Header được dán nhãn riêng
• 100% phía client, không tải lên: mỗi phân tích, xác minh và ký chạy qua Web Crypto API native của trình duyệt — token, khóa và payload không bao giờ rời khỏi trình duyệt, tuân theo nguyên tắc bảo mật 'không bao giờ dán token production vào công cụ online ngẫu nhiên'
• Sao chép một cú nhấp chuột: Header, Payload, Signature và token mới tạo có thể sao chép độc lập cho tài liệu, ticket và lệnh curl

Cách Sử dụng

1. Dán hoặc nhập token: đặt chuỗi JWT vào trường nhập; công cụ tự động tách Header, Payload và Signature và hiển thị mỗi phần dưới dạng JSON được định dạng
2. Chọn thuật toán: chuyển đổi giữa HS256 / RS256 / ES256 / PS256 / EdDSA; công cụ suy luận từ Header.alg và đánh dấu bất kỳ sự không khớp nào
3. Nhập khóa: dán Secret HMAC, chuỗi PEM hoặc JSON JWK; đối với thuật toán bất đối xứng, nhấp vào 'Tạo cặp khóa' để nhận khóa kiểm tra ngay lập tức
4. Xác minh hoặc ký lại: trong chế độ Decode, xác minh bằng khóa công khai và xem '✅ chữ ký hợp lệ / ❌ chữ ký không hợp lệ'; trong chế độ Encode, sửa Claims và ký bằng khóa riêng để tạo token mới

Câu hỏi Thường gặp

Giải mã, Xác minh và Tạo JWT là gì?

Code Examples

const crypto = require('node:crypto')

function b64url(input) {
  return Buffer.from(input)
    .toString('base64')
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}

function hmacSign(data, secret) {
  return b64url(crypto.createHmac('sha256', secret).update(data).digest())
}

function sign(payload, secret) {
  const header = b64url(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
  const body = b64url(JSON.stringify(payload))
  const signature = hmacSign(`${header}.${body}`, secret)
  return `${header}.${body}.${signature}`
}

function verify(token, secret) {
  const [h, p, s] = token.split('.')
  const expected = hmacSign(`${h}.${p}`, secret)
  const a = Buffer.from(s)
  const b = Buffer.from(expected)
  return a.length === b.length && crypto.timingSafeEqual(a, b)
}

const SECRET = 'my-super-secret-key'
const payload = { userId: 42, role: 'admin', exp: Math.floor(Date.now() / 1000) + 3600 }
const token = sign(payload, SECRET)

console.log(token)
console.log(verify(token, SECRET))       // true
console.log(verify(token, 'wrong-key'))  // false

<!doctype html>
<html>
  <body>
    <pre id="out"></pre>
    <script>
      const out = document.getElementById('out')

      const b64url = buf =>
        btoa(String.fromCharCode(...new Uint8Array(buf)))
          .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')

      const b64urlStr = str => b64url(new TextEncoder().encode(str))

      async function sign(payload, secret) {
        const header = b64urlStr(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
        const body = b64urlStr(JSON.stringify(payload))
        const data = new TextEncoder().encode(`${header}.${body}`)

        const key = await crypto.subtle.importKey(
          'raw',
          new TextEncoder().encode(secret),
          { name: 'HMAC', hash: 'SHA-256' },
          false,
          ['sign']
        )

        const sig = await crypto.subtle.sign('HMAC', key, data)
        return `${header}.${body}.${b64url(sig)}`
      }

      ;(async () => {
        const token = await sign({ user: 'alice', role: 'admin' }, 'browser-demo-secret')
        out.textContent = token
      })()
    </script>
  </body>
</html>

import { jwtVerify, importSPKI } from 'jose'
import { readFile } from 'node:fs/promises'

const token = 'eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ.payload.signature'
const publicKeyPem = await readFile('public.pem', 'utf8')

try {
  const { payload, protectedHeader } = await jwtVerify(
    token,
    await importSPKI(publicKeyPem, 'RS256'),
    {
      issuer: 'https://idp.example.com',
      audience: 'my-app',
      algorithms: ['RS256'],     // critical: algorithm whitelist blocks alg:none and HS256-substitution attacks
    }
  )
  console.log('alg =', protectedHeader.alg)
  console.log('sub  =', payload.sub)
} catch (err) {
  console.error('verify failed:', err.code, err.message)
  // common: ERR_JWT_EXPIRED / ERR_JWS_INVALID / ERR_JWS_SIGNATURE_VERIFICATION_FAILED
}

import jwt

token = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.SflKxw'

# Parse (no signature check, just look at Header and Payload)
print(jwt.get_unverified_header(token))
# {'alg': 'HS256', 'typ': 'JWT'}

print(jwt.decode(token, options={'verify_signature': False}))
# {'sub': '1234'}

# Full verification
claims = jwt.decode(
    token,
    'my-super-secret-key',
    algorithms=['HS256'],
    audience='my-app',
    issuer='my-service',
)
print(claims['sub'])

Supported Video Formats

Output Example

A real MP3 file encoded to a Data URI — copy-ready:

Header (Base64URL): eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload (Base64URL): eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphbmUgRG9lIiwiaWF0IjoxNzE2MjM5MDIyfQ
Signature: kZJfaYjK3iCkVFL5EL9zGRZ5SmD8_x2h6B5c7pVFfVGo

Privacy & Security

Bàn làm việc JWT này chạy 100% trong trình duyệt của bạn, được hỗ trợ bởi Web Crypto API native của trình duyệt. Token bạn dán, Header, Payload, Signature, Secret HMAC, bất kỳ khóa riêng RSA/ECDSA nào, bất kỳ cặp khóa nào được tạo và mỗi tính toán chữ ký/xác minh đều ở trên thiết bị của bạn — chúng không bao giờ đi đến máy chủ, không bao giờ được ghi log, không bao giờ được phân tích và không bao giờ được lưu cache. Trang có thể được sử dụng ngoại tuyến sau khi tải. Thực tiễn tốt nhất: không bao giờ dán token production tồn tại lâu dài hoặc khóa riêng production vào bất kỳ công cụ online nào, bao gồm cả công cụ này. Công cụ này phù hợp để gỡ lỗi, kiểm tra tích hợp, học tập và tạo token kiểm tra — secret production và khóa riêng nên được xử lý trong môi trường được kiểm soát, cục bộ.

Authoritative References

• IETFRFC 7519: JSON Web Token (JWT)
• IETFRFC 7515: JSON Web Signature (JWS)
• IETFRFC 7517: JSON Web Key (JWK)
• Auth0JWT.io — official debugger and library index
• OWASPOWASP JSON Web Token Cheat Sheet
• IETFJOSE working group overview

Troubleshooting