JWTの中身は暗号化とは限らない
一般的なJWTのHeader / PayloadはBase64URL表現なので、秘密情報を隠す仕組みではありません。トークンを受け取った人は内容を読める前提で扱います。
使う
共有シークレットを入力した場合のみ、HS256 / HS384 / HS512のHMAC署名を確認できます。公開鍵方式は対象外です。
無料Webツール
JWTのHeader / Payloadを端末内でデコードし、HS256 / HS384 / HS512なら共有シークレットでHMAC署名も確認できます。
共有シークレットを入力した場合のみ、HS256 / HS384 / HS512のHMAC署名を確認できます。公開鍵方式は対象外です。
JWTのHeader / PayloadをBase64URLデコードし、必要な場合だけHS256 / HS384 / HS512のHMAC署名を共有シークレットで確認します。
本番環境の共有シークレットを確認目的だけでWebページへ貼る運用は避け、テスト用トークン・テスト用シークレットでの確認を推奨します。
.で区切られた各部をデコードすると中身を読めます。ただしPayloadにadmin: trueと書いてあっても、それだけで正しい発行者が署名したトークンだとは判断できません。本物かどうかの確認には、署名アルゴリズム・公開鍵や共有鍵・issuer / audienceなどを使った検証が別途必要です。
一般的なJWTのHeader / PayloadはBase64URL表現なので、秘密情報を隠す仕組みではありません。トークンを受け取った人は内容を読める前提で扱います。
共有シークレットを入力した場合に限り、HS256 / HS384 / HS512のHMAC署名を確認できます。RS / ES / PSなど公開鍵方式は検証しません。
expは有効期限、nbfは有効開始時刻として使われる代表的なClaimです。補助表示で現在時刻との関係を確認できますが、最終判断は受け側システムの検証ルールに従います。
issは発行者、audは想定する受け手を示します。署名が正しくても、想定外のissuerやaudienceなら受け付けない、という検証が一般的です。