Giải mã JWT 🔒 Dữ liệu của bạn không rời khỏi trình duyệt.
Giải mã header & payload của JWT, kiểm tra hạn. Không gửi đi đâu cả.
Khóa bí mật không rời khỏi trang này và không được lưu.
Giải thích các claim
Claim trong header
| Claim | Giá trị | Ý nghĩa |
|---|
Claim trong payload
| Claim | Giá trị | Ý nghĩa |
|---|
Về công cụ này
JWT (JSON Web Token) gồm 3 phần ngăn cách bằng dấu chấm: header, payload và chữ ký. Header và payload chỉ là JSON được mã hóa Base64URL — bất kỳ ai cầm token đều đọc được, vì vậy đừng bao giờ để dữ liệu nhạy cảm trong payload. Công cụ này giải mã token, kiểm tra hạn (exp/nbf) và giải thích ý nghĩa từng claim chuẩn.
Khác với nhiều trang giải mã JWT, mọi thứ ở đây chạy 100% trong trình duyệt — token của bạn (thường chứa thông tin phiên đăng nhập) không bao giờ được gửi lên máy chủ nào.
Câu hỏi thường gặp
JWT có được mã hóa không?
Không. Một JWT tiêu chuẩn được ký, không được mã hóa — header và payload của nó chỉ là Base64URL, nên ai cũng có thể giải mã và đọc mà không cần bất kỳ khóa nào. Đừng bao giờ đặt thông tin bí mật vào payload của JWT.
"Chữ ký hợp lệ" thực sự chứng minh điều gì?
Nó chứng minh header và payload của token chưa bị thay đổi kể từ khi người giữ khóa bí mật (hoặc private key) ký nó. Nó không nói gì về việc các claim bên trong có đúng hay không — đó là một quyết định phân quyền riêng mà backend của bạn phải đưa ra.
Vì sao công cụ này chỉ có thể xác minh token HS256/HS384/HS512?
Đó là các thuật toán đối xứng — để xác minh chỉ cần cùng một khóa bí mật dùng chung đã dùng để ký, mà bạn có thể nhập an toàn vào trang này. RS256/ES256 và tương tự dùng một private key không bao giờ được rời khỏi máy chủ của bạn, nên công cụ này không thể xác minh chúng.
"alg": "none" trong header nghĩa là gì?
Điều đó nghĩa là token hoàn toàn không được ký — ai cũng có thể sửa payload của nó mà vẫn "giải mã" thành công. Một máy chủ chấp nhận token alg: none có một lỗ hổng nghiêm trọng; công cụ này gắn cờ cảnh báo cho trường hợp đó.
Token hoặc khóa bí mật của tôi có được gửi đến máy chủ khi tôi giải mã hoặc xác minh không?
Không. Việc giải mã và xác minh chữ ký đều chạy cục bộ trong trình duyệt của bạn bằng Web Crypto API — khóa bí mật bạn nhập vào không bao giờ được lưu hay truyền đi.