แก้ claims ของ JWT
แก้ claims ของ JWT ในเบราว์เซอร์ ถอดรหัส แก้ payload แล้วเซ็นใหม่ด้วย HS256 โดยไม่ส่งโทเค็นออกจากเครื่อง
Loading tool...
แก้ claims ของ JWT คืออะไร?
JWT Claims Editor ถอดรหัสโทเค็นเป็น JSON ของ header และ payload ที่แก้ไขได้ เปลี่ยน claim ได้ทุกอัน แล้วเซ็นใหม่ด้วย HS256, HS384 หรือ HS512 ผ่าน Web Crypto — HMAC เดียวกับที่ backend ใช้ claims เดิมอยู่เคียงโทเค็นที่เซ็นใหม่ ทุกการแก้ไขจึงตรวจทานได้ และมีโน้ตชัดเจนว่าผลลัพธ์เป็นของทดสอบ ไม่มีเซิร์ฟเวอร์: โทเค็นและ secret อยู่ในแท็บของคุณเท่านั้น
ประโยชน์หลัก
- JSON แก้ได้ทั้ง header และ payload พร้อมเซ็นใหม่ทันที
- อัลกอริทึม HMAC ผ่าน Web Crypto มาตรฐาน
- claims ก่อนหลังเคียงกัน ตรวจทานการแก้ได้
- กันพลาดชัดเจน: อัลกอริทึม asymmetric มีคำอธิบาย ไม่ทำให้เสีย
- secret และโทเค็นไม่ออกจากแท็บเบราว์เซอร์
กรณีการใช้งาน
- •แก้คำพิมพ์ผิดในโทเค็นทดสอบโดยไม่ต้อง deploy โค้ด auth ใหม่
- •ลองค่า role หรือ scope กับ middleware ในเครื่อง
- •ดูว่าการแก้ claim เปลี่ยนไบต์ลายเซ็นอย่างไร
- •สร้าง fixture ที่เซ็นแล้วสำหรับ integration test
- •สอนวิธีประกอบ signing input ของ JWT
วิธีแก้และเซ็น JWT ใหม่
- วางและถอดรหัส: วางโทเค็นแล้วกดถอดรหัสโทเค็น header และ payload จะถูกแกะลงกล่อง JSON แก้ไขได้ โทเค็นที่เสียจะบอกปัญหาแทนการเงียบ
- แก้ claims: แก้ claim ใดก็ได้ใน payload JSON — roles, scopes, expiry — และปรับ header ตามต้องการ claims เดิมยังอยู่ในแผงเทียบผล
- เลือกอัลกอริทึมและ secret: เลือก HS256, HS384 หรือ HS512 แล้วใส่ shared secret ที่ backend ของคุณใช้ ค่านี้อยู่ในแท็บและไม่ถูกส่งออก
- เซ็นใหม่และเทียบ: กดเซ็นโทเค็นใหม่เพื่อสร้างลายเซ็นด้วย Web Crypto แล้วเทียบ claims ก่อนหลัง คัดลอกโทเค็นไปใช้ในเทสต์
คุณสมบัติหลัก
- ถอดรหัส JWT สามส่วนเป็น JSON แก้ไขได้
- เซ็นใหม่ด้วย HS256, HS384 หรือ HS512 ผ่าน Web Crypto
- แสดง claims เดิมเคียงผลลัพธ์ที่เซ็นใหม่
- เปลี่ยนอัลกอริทึมพร้อมจัดการ header typ ให้ถูกต้อง
- เป็นส่วนตัวโดยดีไซน์ — โทเค็นและ secret ไม่ออกจากแท็บ
คำถามที่พบบ่อย
แก้ JWT เหมือนปลอมโทเค็นหรือเปล่า
สำหรับโทเค็น HMAC การเซ็นใหม่ด้วย secret จริงได้โทเค็นที่ใช้ได้ — นั่นแหละคือเหตุผลที่เครื่องมือนี้มีไว้เพื่อทดสอบ และเหตุผลที่มันเก็บ secret ไว้ในแท็บ ส่วนอัลกอริทึม asymmetric (RS256, ES256) ลายเซ็นต้องใช้ private key เครื่องมือจึงจำกัดการเซ็นใหม่เฉพาะตระกูล HS และอธิบายข้อจำกัด แทนการผลิตโทเค็นเสีย
secret หรือโทเค็นถูกส่งไปไหนหรือเปล่า
ไม่ การถอดรหัสใช้ API ของเบราว์เซอร์และการเซ็นใช้ Web Crypto ในหน้า ไม่มีการเรียกเซิร์ฟเวอร์ในเครื่องมือนี้ และการปิดแท็บเป็นการทิ้งทั้งโทเค็นและ secret
ทำไมโทเค็น RS256 ของฉันเซ็นใหม่ไม่ได้
ลายเซ็นตระกูล RS และ ES ต้องใช้ private key ในการคำนวณ ไม่ใช่แค่ shared secret เครื่องมือจะติดธงอัลกอริทึมกลุ่มนี้ตอนถอดรหัสและให้ดู claims ได้ แต่จะเซ็นเฉพาะโทเค็น HMAC ผลลัพธ์จึงตรวจสอบได้เสมอ ไม่ใช่โทเค็นเสีย
header typ ไว้ทำอะไร
header typ ประกาศชนิดสื่อของโทเค็น ตามธรรมเนียมคือ JWT ตอนเซ็นใหม่เครื่องมือเขียน typ JWT ลง header คู่กับอัลกอริทึมที่คุณเลือก ตรงกับที่ไลบรารีมาตรฐานเขียน ตัวตรวจปลายทางจึงเห็น header ปกติ