Cookie の使用について.本サイトでは、基本機能の提供に必要な必須 Cookie を使用しています。さらに、同意いただいた場合に限り、アクセス解析 Cookie を利用して利用状況を把握し、サービス改善に役立てます。詳しくは .
Cookie の使用について.本サイトでは、基本機能の提供に必要な必須 Cookie を使用しています。さらに、同意いただいた場合に限り、アクセス解析 Cookie を利用して利用状況を把握し、サービス改善に役立てます。詳しくは .
このツールは使いやすかったですか？
フィードバックは改善に役立ちます
在线解析JWT头部、载荷及关键信息，无需安装即用即走。
概要
解決できる課題、処理の仕組み、データの範囲を確認できます。
JWT（JSON Web Token）は、当事者間でクレーム（主体や有効時間などの情報）を受け渡すための形式です。このページでは、ドットで区切られた3区分のトークンを入力し、HeaderとPayloadをJSONとして読みやすく表示します。3つ目のSignatureは文字列のまま確認できます。主な用途は、開発中の認証情報やAPI応答に含まれる値を目視で調べることです。
一般的な署名付きJWTは header.payload.signature の形です。各区分はBase64urlで表されます。これはバイナリデータを文字列として表現するエンコードであり、内容を隠す暗号化ではありません。トークンを持つ人がPayloadを読める場合があるため、そこに機密情報が含まれないか注意してください。
alg など、トークン形式や署名方式に関するメタデータを確認します。ここに書かれた値は自己申告の内容であり、方式が正しいことをこの表示だけでは証明しません。
iss（発行者）、sub（主体）、aud（対象者）、exp（有効期限）などのクレームを含むJSONです。独自のクレームも元のJSONに含まれていれば表示されます。
署名区分の文字列を表示します。署名が存在することと、その署名が正しいことは別の確認事項です。
RFC 7519では、iat（発行時刻）やexp（有効期限）などのNumericDateを、Unix epochからの秒数として定義しています。このツールは数値の iat と exp を日時表示に変換し、exp が現在時刻より前と判定された場合は期限切れの表示を付けます。元の値はPayloadのJSONでも確認できます。
摘要欄に表示するのはアルゴリズム、発行者、発行時刻、有効期限です。値がトークンに含まれない場合、発行者や発行時刻は表示されず、有効期限欄は「--」になります。任意のクレームが自動で追加されるわけではありません。
参考仕様
使い方
手順に沿って操作し、例を使って入力と結果を確認します。
テスト用など、共有しても差し支えないJWTを入力欄に貼り付けます。サンプル表示を使って形式を試すこともできます。
結果のHeaderで alg、Payloadで必要なクレームを確認します。整形されたJSONはそれぞれコピーできます。
摘要の発行者や時刻表示を元のPayload値と照らし合わせます。Signatureもコピーできますが、この画面では検証されません。
形式エラーが出る場合は、トークンが途中で欠けていないか、余分な空白や改行が入っていないかを確かめてください。
活用例
仕事や日常の流れの中での活用方法を紹介します。
開発者がテスト環境のトークンを読み、想定した iss や sub がPayloadに入っているかを確認します。実際の認証可否はサーバー側の検証結果で判断します。
API連携を調べる担当者が iat と exp の元値および日時表示を、テスト記録と照合します。日時表示だけで時刻設定の正しさを確定しないようにします。
Q&A
よくある疑問や迷いやすい点をまとめて確認できます。
できません。Header・Payloadの表示とSignature文字列の確認までです。信頼性や改ざんの有無は、発行者の鍵と検証条件を使うサーバー側の処理で確認してください。
iss や exp が見つからないのはなぜですか？クレームはすべてのトークンに必ず含まれるわけではありません。トークンに値がなければ摘要にも出ません。PayloadのJSON全体で、実際に含まれているキーを確認してください。
対象はドット区切りの3区分です。5区分のJWE（暗号化JWT）は解析対象ではなく、入力すると形式エラーになります。
いいえ。含まれる exp を現在時刻と比較した表示にすぎません。署名、発行者、対象者、失効状態、サービス固有の認可条件は判定しません。
注意
利用範囲、結果の制限、必要な注意点を事前に確認します。
表示できたことは、JWTが真正である、改ざんされていない、発行者が信頼できる、またはログインに使えることを意味しません。この機能は署名検証や発行者・audience・認可条件の確認を行いません。実運用の判断には、対象サービスが定めるサーバー側の検証を使ってください。
アクセストークン、セッション情報、個人情報などを入力しないでください。JWTのPayloadは通常、署名されていても暗号化されているとは限らず、内容を読める形式で含むことがあります。検証用には失効可能なテストトークンや、機密値を含まないサンプルを利用してください。
関連
関連ツール、特集、利用可能なAPIを探せます。