JWT Çözücü

Bir JSON Web Token, ilk bakışta okunamaz bir karakter yığını gibi görünür; ama aslında noktalarla birleştirilmiş, Base64URL ile kodlanmış üç bölümden ibarettir: header, payload ve signature. Header ve payload'ı çözmek hiçbir şekilde şifreleme değildir — token'a sahip olan herkes içindeki claim'leri okuyabilir; hassas verilerin bir JWT payload'ına asla konulmaması gerektiğinin nedeni tam olarak budur. Sorun şu ki, insanların incelemesi gereken token'lar nadiren tek kullanımlık test verisidir. Çoğunlukla bir üretim uygulamasından alınan canlı bir oturum token'ı, bir API erişim token'ı ya da hata ayıklama sırasında doğrudan tarayıcının geliştirici araçlarından kopyalanan bir oturum açma çerezidir — yanlış ellere geçtiğinde gerçek erişim sağlayan gerçek bir kimlik bilgisi. Bunu rastgele bir web sitesine yapıştırmak, oturumunuzu hakkında hiçbir şey bilmediğiniz bir sunucuya teslim etmek demektir.

Bu araç bunu asla yapmaz. Header ve payload, bir token yapıştırdığınız anda tarayıcınızda çalışan düz JavaScript ile çözülür — noktalardan bölünür, Base64URL çözülür, JSON olarak ayrıştırılır — ve hiçbiri hiçbir yere gönderilmez. İmza doğrulaması da aynı şekilde çalışır; her modern tarayıcıda yerleşik olarak bulunan Web Crypto API'sini (`SubtleCrypto`) kullanır: HMAC algoritmaları (HS256, HS384, HS512) girdiğiniz bir gizli anahtara karşı, RSA algoritmaları (RS256, RS384, RS512) ise PEM formatında yapıştırdığınız bir genel anahtara karşı doğrulanır. Hem kriptografik gizli anahtar hem de doğrulamanın kendisi yalnızca sekmede kalır; sayfayı yenilediğinizde token, gizli anahtar ve anahtar dahil her şey kaybolur.

Bir token yapıştırdığınızda header ve payload'ı güzelce biçimlendirilmiş halde görürsünüz; standart `exp`, `iat` ve `nbf` claim'leri de okunabilir bir tarihe çevrilerek gösterilir ve token'ın `exp` değeri geçmişse net bir "Süresi doldu" rozeti belirir — "oturumum kapandı" şeklindeki bir hata bildiriminin gerçekten sadece süresi dolmuş bir token olup olmadığını doğrulamak için kullanışlıdır. Algoritma HS256/384/512 veya RS256/384/512 ise, imzanın gerçek mi yoksa değiştirilmiş mi olduğunu kontrol etmek için eşleşen gizli anahtarı veya genel anahtarı girebilirsiniz. Bu kümenin dışındaki algoritmalar (ES256 ya da imzasız `none` gibi) yine de sorunsuz çözülür, ancak sahte bir sonuç göstermek yerine doğrulama seçeneği sunulmaz. Yerel geliştirme için düzenlenebilir header/payload kutuları, bir claim'i değiştirmenize — örneğin bir kullanıcı ID'sini ya da bir rolü değiştirmenize — ve token'ı test sunucunuzun kullandığı aynı HS256 gizli anahtarıyla yeniden imzalamanıza olanak tanır; bu, tam bir oturum açma akışını baştan çalıştırmadan yetkilendirme mantığını test etmenin yaygın bir yoludur.

Bir JWT'nin payload'ı çözüldükten sonra düz, okunabilir bir JSON olduğundan, iç içe geçmiş bir claim'i daha yakından incelemeniz gerektiğinde JSON Biçimlendirici ve Doğrulayıcı aracıyla doğal bir uyum içinde çalışır. Tekrar etmeye değer bir güvenlik hatırlatması: çözme işlemi hiçbir gizli anahtar gerektirmediğinden, incelemeyi bitirir bitirmez her token'ı hassas veri olarak değerlendirin; yalnızca kısa ömürlü olması amaçlanmış kimlik bilgilerini, buraya yapıştırılmadan önce başka nerelerde kullanıldığından emin değilseniz yenileyin.