JWT Debugger; JSON Web Token'ları çözümleyip inceler; başlık (header), veri (payload) ve imza (signature) kısımlarını ayrıştırır, hak taleplerini (claims) görüntüler ve sona erme durumunu işaretler. Kimlik doğrulama sorunlarını gidermek, OAuth/OIDC token'larını incelemek ve içerikleri jwt.io gibi sitelere gitmeden doğrulamak için mükemmeldir.
JWT (JSON Web Token), modern API'ler genelinde — OAuth, OIDC, oturum token'ları ve özel API kimlik doğrulaması için — kimlik doğrulama token'larının baskın formatıdır. Ama bir JWT anlamsız görünür: nokta ile birleştirilmiş üç Base64URL kodlu string. JWT Debugger bu string'i üç parçasına ayrıştırır — header, payload ve signature — her birinin kodunu çözer ve JSON içeriğini syntax highlighting ile görüntüler.
Payload, bilinen claim'ler için ayrıştırılır: iss (issuer), sub (subject), exp (expiry), iat (issued at), nbf (not before), aud (audience), jti (token ID). Expiry, Unix timestamp'ten okunabilir bir forma dönüştürülür ve geçerli, süresi dolmuş veya henüz geçerli değil olarak işaretlenir. Araç signature'ı DOĞRULAMAZ — bu secret key gerektirir ve client-side bir aracın kapsamı dışındadır — ancak bir token'ın tam olarak neler içerdiğini gösterir, böylece kimlik doğrulama sorunlarını hızlıca ayıklayabilirsiniz.
Header'ın algoritma alanı (alg) açıkça belirtilir; bir token "none" algoritmasını kullanıyorsa uyarı da dahil — bu, bir sunucu imzasız token'ları reddetmezse signature doğrulamasının tamamen atlatılabildiği iyi bilinen bir JWT güvenlik açığıdır. Hem HMAC tabanlı algoritmalar (HS256, HS384, HS512) hem de RSA/ECDSA tabanlı olanlar (RS256, ES256) tanımlanır ve etiketlenir, böylece bir API'nin paylaşılan-secret mi yoksa public-key imzalama şeması mı kullandığını hemen anlarsınız. Özel, standart dışı claim'ler de tam olarak görüntülenir, çünkü gerçek dünyadaki çoğu token, roller veya tenant ID'leri gibi uygulamaya özgü veriler taşır.
JWT'yi noktalardan ayırır ve her bölümü (başlık, veri, imza) Base64URL ile çözer. Her biri sözdizimi vurgulamasıyla ayrı ayrı gösterilir.
Algoritmayı (HS256, RS256, ES256) ve token tipini görüntüler. Bir servisin hangi imzalama şemasını kullandığını hızlıca doğrulayın.
JSON veri kısmını ayrıştırır ve renk kodlu anahtarlar, dizeler, sayılar ve boolean değerlerle sunar. Tüm talepler bir bakışta görülebilir.
exp (expiry), iat (issued at) ve nbf (not before) zaman damgalarını kontrol eder. Token'ın geçerli, süresi dolmuş veya henüz aktif olmadığını okunabilir zamanlarla işaretler.
Kayıtlı talepleri (iss, sub, aud, exp, iat, nbf, jti) tanır ve anlamları için hızlı referans açıklamaları sunar.
Ham token, her bölüm farklı bir renkte olacak şekilde gösterilir; böylece başlık, veri ve imzayı görsel olarak ayırt edebilirsiniz.
Bir API 401 Unauthorized hatası döndürdüğünde, süresinin dolup dolmadığını veya yanlış yayıncı (issuer) tarafından oluşturulup oluşturulmadığını kontrol etmek için token'ı yapıştırın.
OAuth/OIDC akışlarından dönen erişim (access) ve kimlik (ID) token'larını çözerek izin verilen kapsamları (scopes), kullanıcı kimliğini ve süresini görün.
Gerekli taleplerin (roller, izinler, kiracı kimliği) arka uç kabul etmeden önce token içerisinde mevcut olduğunu onaylayın.
Bir arka uç servisi tarafından token oluşturulduğunda, içeriğin (payload) servisin yayınlamayı amaçladığı verilerle eşleştiğini doğrulamak için token'ı çözün.
Güvenlik incelemesi sırasında, localStorage veya çerezlerde saklanan token'ları çözerek istemci tarafında hangi hassas verilerin açığa çıktığını değerlendirin.
DevSuite Pro dock'undaki JWT simgesine tıklayın. Bir token giriş alanı ve üç çözümlenmiş panel içeren bir ekran açılır.
API yanıtından, Authorization başlığından veya çerezlerden aldığınız herhangi bir JWT'yi yapıştırın. "Bearer " öneki olsa da olmasa da çalışır.
Başlık (Header) paneli algoritmayı ve tipi gösterir. Arka ucun (backend) beklediği şemayı (genellikle HS256 veya RS256) kullandığını teyit edin.
Veri (Payload) paneli tüm talepleri sözdizimi vurgulamasıyla gösterir. Standart talepler (iss, sub, exp) amaçlarıyla birlikte işaretlenir.
Durum rozeti Geçerli (Valid), Süresi Dolmuş (Expired) veya Henüz Geçerli Değil (Not Yet Valid) bilgisini gösterir. Süresi dolmuşsa, kimlik doğrulama hatanızın nedeni muhtemelen budur.
DevSuite Pro'yu ücretsiz yükleyin ve tarayıcınız için 64'dan fazla geliştirici aracının kilidini açın.
