デコードされた主張は検証されるまで信頼されません
誰でも、任意のヘッダーとペイロード値を使用してトークン型の文字列を構築できます。 sub、role、exp、またはその他のクレームを読むと、トークンが何を言っているかが分かります。誰が発行したかは証明されません。
JWTのHeader/Payload、exp・iat・nbfなどの主要クレームをデコードし、HS256署名をブラウザー内のみ検証します。
{}
{}
JWT ペイロードは通常、Base64URL でエンコードされたクレームであり、キーなしでデコードできます。そのため、デコードは検査には役立ちますが、信頼には役立ちません。信頼するには、予期されるアルゴリズムとキーを使用して署名を検証し、発行者、対象者、有効期限などのクレームを個別に適用する必要があります。
誰でも、任意のヘッダーとペイロード値を使用してトークン型の文字列を構築できます。 sub、role、exp、またはその他のクレームを読むと、トークンが何を言っているかが分かります。誰が発行したかは証明されません。
このツールは、一致するシークレットを指定すると、HS256 署名を検証できます。署名チェックが成功すると、その共有キーに基づく整合性が証明されますが、有効期限、発行者、対象者、ノンス、その他のクレームに関するアプリケーション ルールが依然として必要です。
RS256 と ES256 は非対称キーを使用するため、この HS256 専用チェッカーでは検証されません。サポートされていないアルゴリズムを検証の失敗または成功として解釈しないでください。そのアルゴリズムと鍵タイプ用に設計された検証ツールを使用してください。