JWTデコード

3つのパートのうち、ヘッダーとペイロードをBase64URLで読みます。改ざんされていないことの証明にはなりません。JWEの復号でもありません。

ログインが落ちた、401 の直後——トークンの中身を見る仕事です。検証ではありません。jwt.io のブランドを名乗ってもいません。

header.payload.signature を分け、先頭2つを読みます。改ざん検知も、秘密鍵の解読も、管理者権限の偽造もできません。

読んでよいこと・してはいけないこと

• よい: sub、iss、aud、exp が期待どおりか、自分の端末で確認する。
• いけない: デコード結果だけで認可する。alg をトークン側の宣言のまま信じる。
• 別道具: 文字列のBase64、テスト用のAES暗号化／復号、HMAC / パスワード強度。

eyJhbGciOiJub25lIn0.eyJzdWIiOiJ0b29sYXRsYXMiLCJ0b29sIjoiand0LWRlY29kZXIifQ.

上は署名なしの例です。本番のアクセストークンを、説明用に残さないでください。

使い方

1. Authorization から取り出した値を貼ります。Bearer が付いていれば外してください。
2. ヘッダーとペイロードを読みます。時刻クレームは人間向けに見えることがあります。
3. ネットワークパネルで、貼った値が外へ出ていないことを確認できます。

鍵の検証が必要なら、自分のバックエンドか、検証機能のあるローカルツールを使ってください。ここはデコード専用です。