Bộ giải mã JWT

JWT gồm ba đoạn mã hóa Base64URL tách bằng dấu chấm: Header.Payload.Signature. Header mô tả loại token và thuật toán ký (ví dụ HS256, RS256). Payload mang claim — id người dùng, vai trò, hết hạn (exp), phát hành (iat), và mọi trường tùy chỉnh API đặt vào. Signature là con dấu mật mã trên hai phần đầu; bộ giải mã hiện chuỗi chữ ký thô nhưng không xác minh, vì xác minh cần secret hoặc khóa công khai.

Giải mã chỉ Base64URL-decode header và payload để bạn đọc claim — ai cũng làm được mà không cần khóa, vì JWT được ký, không mã hóa bảo mật. Xác minh kiểm tra chữ ký khớp bằng secret hoặc khóa công khai của issuer, chứng minh token không bị giả mạo và đến từ bên tin cậy. Công cụ này là bộ giải mã để debug; nó không bao giờ khẳng định token xác thực trừ khi bạn xác minh chữ ký riêng trong backend của mình.

Các claim đó lưu dạng Unix time tính bằng giây từ 1970-01-01 UTC. Công cụ phát hiện các khóa timestamp phổ biến (exp, iat, nbf, auth_time) và hiện ngày/giờ địa phương tương đương cạnh mỗi giá trị. Với exp cụ thể, nó cũng gắn badge token là Expired hoặc Active dựa trên đồng hồ hiện tại của trình duyệt — hữu ích để phát hiện lệch đồng hồ hoặc token staging cũ trong nháy mắt.

JWT production và staging thường chứa id người dùng, địa chỉ email, vai trò hoặc PII khác trong payload — và đôi khi người ta dán token cũng xuất hiện trong header Authorization cạnh secret. Debugger phía máy chủ nhận toàn bộ chuỗi đó. Công cụ này không bao giờ tải lên gì: giải mã Base64URL, parse JSON và định dạng timestamp đều chạy trong trình duyệt, nên token nhạy cảm ở lại trên máy bạn.