Інструменти розробника · JWT декодер
Як декодувати JWT Завантажити за допомогою Hand With base64 і jq
· Як працює
Опубліковано ToolAcre · Редакція журналу
свінгери веб-сайт розробник-workflow
На безголовному ящику ви ще можете прочитати токен з ріжучим, тр, base64 і jq. Ця пошта дає команди, пояснює базову64url перетворення кожного, що виконує, і списує підводні камені.
Читання токену SSH — коли браузер не опція
Безголовний сервер може залишити вас з токен-подібним рядком і без браузера UI. Необхідна інспекційна робота все ще невелика: ізолювати один сегмент, перевести base64url, відновити насипання, декодувати байти і пароза JSON. Небезпека операційна, а не обчислювальна, оскільки історія оболонок може зберегти живий потенціал.
Використовуйте перевірений або синтетичний токен, коли це можливо. Якщо реагування на інциденти вимагає вивчення реальної цінності, слідуйте за цими принципами організації, не допустити її введення в загальну історію або журнали і повернути її після впливу. Командно-лінійне декодування залишається перевіркою тільки; він не забезпечує перевірки ключа або політики довіри.
Розщеплення на точках — вирізати або вирізати, щоб ізолювати сегмент навантаження
Компактний JWS-форма JWT має три допаровані поля. Перевантаження – другий. Оболонка може розбити її з інструментом для знежирення, але процитувати змінні, так що оболонка не розширює символи або розбити білий простір. Видалити провідний `Bearer ` етикетка перед вибором полів, тому що префікс належить до HTTP Синтаксис.
Перерахуйте поля, а не сліпо знімаючи поле два. ToolAcre відхиляє будь-який інший, ніж три частини і окремо визначає п'ять-частин зашифрований вхід. Трубопровід оболонки повинен застосовувати однакову структурну оболонку; отримання сегмента від неформованого введення може виробляти пластику JSON при концесуванні, що оригінальний токен був обрізаний.
Перетворення алфавіту — тр, щоб перетворити фен і підкреслити назад в плюс і slash
Стандартний командно-лінійний бази64 реалізовує зазвичай expect plus і slash, де JWT сегмент може містити гіфен і низько. Розсилка `-` до `+` і `_` до `/` мапа URL-безпечні символи, що повернулися до своїх стандартних позицій без зміни представлених шестибітних значень.
Використовуйте команду перекладу, опція якого не може помилитися провідним гіфеном для прапора, і зберігати дані в процитованій змінній або стандартному вході. Перетворення алфавіту є оборотним кодуванням. Він не розшифровує позови, а успіх не встановлює, що токени прийшли з названого емітента.
Відновлення накипу — арифметичне, що додає праве число знаків
Після перекладу складіть довжину модуля 4. Залишаючи два потреби, і залиште три потреби. Зареєструйтеся на торгах і слід припинити трубопровод. Прийміть довільний наповнювач, доки утиліта перестає скаржитися, а не діагностувати його.
ToolAcre використовує точно це правило довжини в `base64ToBytes` і відхиляє неможливе перебування. Шеллові утиліти варіюються, чи приймається з в'язаними, так що нормалізує вхід, що дозволяє явним і портативним в концепції, хоча прапори команди можуть відрізнятися між операційними системами.
Декодування і досить друк — base64 -d труба в jq
Труба накладна величина на підставу платформи64, а потім до `jq`. Перша команда відновлює байти; другий вимагає тих байтів у вигляді JSON. Успішна команда Base64 з подальшою помилкою jq parse означає кодування було структурно декодовано, але його вміст не був JSON завантаження.
Що відрізняє дзеркала ToolAcreШляхи помилок. Перші звіти недійсні base64url або UTF-8, потім окремо звіти недійсні JSON, потім відхиляє null, масиви і примітиви через JWT заголовок або перевантаження повинні бути об'єктом для цього інструменту. Зберігаючі етапи окремі робить недійсним.
Виконаний приклад — повний трубопровід на зразковому токені, з виходом на кожному етапі
Для синтетичного прикладу сегмент корисного навантаження `eyJzdWIiOiJkZW1vIiwicm9sZSI6InJlYWRlciJ9` не потребує перекладу абетки або наповнювача. Випадкові врожайності `{"sub":"demo","role":"reader"}`, і jq формати, які об'єднуються між лініями. Виявлена роль є просто рядок, що поставляється з токеном.
Тепер змініть JSON, зашифрувати його знову і прикріпити будь-який третій сегмент. Нафтопровід все ще друкує змінний об'єкт. Це доводить, чому команда decode не може служити перевіркою дійсності: як законні, так і виготовлені претензії, що переходять ті ж публічні перетворення, якщо окремий вивержувач перевіряє підпис.
Pitfalls — історія оболонок, що захоплює токен, base64 реалізує, які відхиляються від накипу, і токени з провідним 'Bearer'
Загальні збої включають збереження HTTP префікс, вибравши неправильне поле, втратиючи причепи персонажів під час копіювання і за допомогою виконання Base64, що вимагає наповнювача. Ще один підводний водоспад розміщує весь токени безпосередньо на командному рядку, де процес списків або історії може зберігати його.
Перед застосуванням стандартних вхідних і ефемерних змінних під відповідними контрольами, і ніколи не вставте в чат, квитки або спільні термінали для зручності. Також пам'ятайте, що третій сегмент є бінарним підписом, а не JSON, щоб відправити його через jq не повинен і розповісти вам про дійсність підпису.
Перебуваючи: те ж саме декодування, будь-яке середовище — коли у вас є браузер, ToolAcre JWT decoder це локально з нічого завантаженого
Трубопровід і ToolAcre виконувати однакову послідовність декодування в різних середовищах: розбити, нормалізувати, диск, декодувати UTF-8 і парсе JSON. Використовуйте будь-яке середовище, яке ви можете перевірити і контролювати, з нечутливими даними як за замовчуванням.
Ніжний шлях виправляє автентичність або авторизує абонента. Після зчитування форми навантаження, перейдемо на довірений верифікація та журнали для криптографічних та політичних рішень. Команда, яка виробляє досить JSON Уповноважено завдання форматування, а не рішення про захист.