JWT Декодер

С этим инструментом да, для самого токена — декодирование осуществляется на чистом JavaScript в вашем браузере, и ничего никуда не отправляется. Но в любом случае относитесь к токенам как к секретам: JWT — это учетные данные на предъявителя, действительные для тех, кто владеет ими, до истечения срока их действия. Для производственных токенов предпочтительнее декодировать локально в собственном отладчике.

Нет, и ни один декодер не сделает этого без вашего секретного или открытого ключа. Декодирование только base64url-декодирует сегменты. Для проверки требуется ключ подписи, и она принадлежит вашей серверной части или библиотеке, такой как jose или jsonwebtoken.

Обычными причинами являются: утверждение exp прошло, токен был выпущен для другой аудитории (audit) или эмитента (iss), часы сервера отличаются настолько, что переносят nbf в будущее, или ключ подписи был поменян. Комиссия по претензиям отвечает на первые три вопроса мгновенно.

iat выдается, exp — время истечения срока действия, а nbf — не раньше. Все три — это временные метки Unix в секундах. Токен действителен, когда nbf ≤ now < exp (когда эти утверждения присутствуют).

Вы можете редактировать полезную нагрузку, но подпись больше не будет совпадать, поэтому любой сервер, который проверяет подписи, правильно отклонит ее. Для тестирования повторно подпишите ключом в вашей среде; это единственный способ честно проверить пути аутентификации.