Bộ giải mã và phân tích cú pháp JWT

JWT (JSON Web Token) là định dạng thông tin xác thực phổ biến nhất cho API. Nó gồm ba chuỗi ngăn cách bởi dấu chấm. Header cho biết thuật toán ký (như HS256, RS256) và loại token. Payload chứa các claim như ID người dùng, quyền hạn và thời điểm hết hạn. Signature do máy chủ tính từ hai phần đầu bằng khóa bí mật, dùng để xác nhận nội dung không bị sửa. Hai phần đầu chỉ được mã hóa Base64URL chứ không hề được mã hóa bảo mật.

Dán token vào, công cụ sẽ giải mã ngay Header và Payload thành JSON có định dạng, còn Signature được hiển thị nguyên dạng. Các claim thời gian phổ biến được đổi sang giờ địa phương dễ đọc: exp là thời điểm hết hạn, iat là thời điểm cấp, nbf là thời điểm bắt đầu hiệu lực (trước đó không nên chấp nhận token). Công cụ cũng dựa vào exp để cho biết token đã hết hạn chưa. Rất tiện khi gỡ lỗi luồng đăng nhập, kiểm tra quyền hạn hay tìm hiểu vì sao người dùng cứ bị đăng xuất.

Điều quan trọng: giải mã không phải là xác minh. Công cụ không kiểm tra chữ ký bằng khóa, và ai cũng có thể giả mạo một payload trông hợp lệ. Back-end bắt buộc phải xác minh chữ ký, thuật toán và exp bằng thư viện đáng tin cậy, đồng thời từ chối token có alg là none. Vì ai cũng đọc được payload, tuyệt đối đừng đặt mật khẩu, số căn cước hay dữ liệu nhạy cảm vào JWT.

Token chính là thông tin đăng nhập; dán nó vào một trang web lạ chẳng khác gì trao quyền truy cập tài khoản. Công cụ này giải mã hoàn toàn trong trình duyệt và không gửi hay ghi lại token. Dù vậy, khi làm việc với hệ thống thật, bạn vẫn nên dùng token đã hết hạn hoặc token của môi trường thử nghiệm.