JWT Debugger giải mã và kiểm tra JSON Web Token — phân tích header, payload và signature, hiển thị các claim, và cảnh báo trạng thái hết hạn. Hoàn hảo để gỡ lỗi các vấn đề xác thực, kiểm tra token OAuth/OIDC, và xác minh nội dung JWT mà không cần chạy công cụ giải mã riêng hay truy cập jwt.io.
JWT (JSON Web Token) là định dạng phổ biến nhất cho token xác thực trên các API hiện đại — OAuth, OIDC, session token, và xác thực API tùy chỉnh. Nhưng một JWT trông như một chuỗi ký tự vô nghĩa: ba chuỗi được mã hóa Base64URL nối với nhau bằng dấu chấm. JWT Debugger phân tách chuỗi đó thành ba phần — header, payload, và signature — giải mã từng phần, và hiển thị nội dung JSON với cú pháp được tô màu.
Payload được phân tích để tìm các claim đã biết: iss (issuer), sub (subject), exp (expiry), iat (issued at), nbf (not before), aud (audience), jti (token ID). Thời gian hết hạn được chuyển đổi từ Unix timestamp sang dạng dễ đọc và được đánh dấu là còn hiệu lực, đã hết hạn, hoặc chưa có hiệu lực. Công cụ KHÔNG xác minh chữ ký — việc đó cần secret key và nằm ngoài phạm vi của một công cụ phía client — nhưng nó cho bạn thấy chính xác nội dung của một token để bạn có thể gỡ lỗi vấn đề xác thực nhanh chóng.
Trường thuật toán (alg) trong header được nêu rõ, kèm cảnh báo nếu một token sử dụng thuật toán “none” — một lỗ hổng JWT nổi tiếng, nơi việc xác minh chữ ký có thể bị bỏ qua hoàn toàn nếu server không từ chối các token chưa ký. Cả các thuật toán dựa trên HMAC (HS256, HS384, HS512) lẫn dựa trên RSA/ECDSA (RS256, ES256) đều được nhận diện và gắn nhãn, nhờ đó bạn biết ngay liệu một API đang dùng cơ chế ký bằng secret-key dùng chung hay public-key. Các claim tùy chỉnh, không theo chuẩn cũng được hiển thị đầy đủ, vì hầu hết các token thực tế đều mang dữ liệu đặc thù của ứng dụng như vai trò (roles) hay tenant ID.
Tách JWT theo dấu chấm và giải mã Base64URL từng đoạn: header, payload và signature. Mỗi phần được hiển thị riêng biệt với cú pháp tô màu.
Hiển thị thuật toán (HS256, RS256, ES256) và loại token. Nhanh chóng xác minh dịch vụ đang dùng cơ chế ký nào.
Phân tích payload JSON và hiển thị với khóa, chuỗi, số, boolean được tô màu phân biệt. Tất cả claim đều thấy rõ trong nháy mắt.
Kiểm tra các timestamp exp (hết hạn), iat (thời điểm phát hành), và nbf (chưa có hiệu lực trước). Đánh dấu token còn hợp lệ, đã hết hạn, hay chưa kích hoạt — kèm thời gian dễ đọc.
Nhận diện các claim đã đăng ký (iss, sub, aud, exp, iat, nbf, jti) và cung cấp chú thích tham khảo nhanh về ý nghĩa của chúng.
Token gốc được hiển thị với mỗi đoạn một màu riêng để bạn dễ dàng phân biệt header, payload và signature bằng mắt.
Khi một API trả về 401 Unauthorized, dán token vào để kiểm tra xem nó đã hết hạn, sai định dạng, hay được phát hành bởi issuer sai.
Giải mã access token và ID token trả về từ luồng OAuth/OIDC để xem các scope được cấp, danh tính người dùng và thời hạn.
Xác nhận các claim bắt buộc (roles, permissions, tenant ID) có mặt trong token trước khi giả định rằng backend sẽ chấp nhận nó.
Khi một token được tạo bởi dịch vụ backend, giải mã để xác minh payload khớp với những gì dịch vụ dự định phát hành.
Trong quá trình đánh giá bảo mật, giải mã các token lưu trong localStorage hoặc cookie để đánh giá dữ liệu nhạy cảm nào đang bị lộ ở phía client.
Nhấp vào biểu tượng JWT trên thanh dock của DevSuite Pro. Một bảng sẽ mở ra với ô nhập token và ba khung hiển thị đã giải mã.
Dán bất kỳ JWT nào — từ phản hồi API, header Authorization, cookie, hoặc localStorage. Có hay không tiền tố "Bearer " đều được.
Khung Header hiển thị thuật toán và loại token. Xác nhận nó đang dùng đúng cơ chế mà backend của bạn mong đợi (thường là HS256 hoặc RS256).
Khung Payload hiển thị tất cả các claim với cú pháp tô màu. Các claim chuẩn (iss, sub, exp) được chú thích rõ mục đích.
Nhãn trạng thái hiển thị Valid, Expired, hoặc Not Yet Valid. Nếu đã hết hạn, đó có thể là lý do khiến xác thực của bạn thất bại.
Cài đặt DevSuite Pro miễn phí và mở khóa hơn 64 công cụ dành cho nhà phát triển cho trình duyệt của bạn.
