Cách hoạt động
Cách đọc một token
JWT gồm ba phần base64url nối bằng dấu chấm: header, payload và chữ ký. Hai phần đầu được giải mã từ base64url sang UTF-8, đọc như JSON rồi hiện có thụt lề. Chữ Bearer ở đầu được bỏ qua.
Giải mã không phải là xác thực. Ai cũng đọc được payload; chỉ chữ ký mới chứng minh token chưa bị sửa.
Ngày giờ và hiệu lực
Các claim iat, nbf và exp là số giây tính từ năm 1970. Công cụ hiện chúng theo giờ UTC, còn trạng thái so với đồng hồ máy bạn: hết hạn khi thời gian chạm exp, chưa có hiệu lực khi còn trước nbf.
Token không có claim exp được báo là không có hạn.
Kiểm tra chữ ký
Với HS256, HS384 và HS512, công cụ ký hai phần đầu bằng khoá bạn nhập qua Web Crypto của trình duyệt rồi so với phần thứ ba của token.
Token ký bằng RSA hoặc ECDSA (RS256, ES256…) cần khoá công khai nên chỉ được giải mã, không kiểm tra chữ ký.
