JWT-Decoder & HMAC-Signaturprüfung

Was ist ein JSON Web Token?

Ein JSON Web Token (RFC 7519) ist ein kompaktes, URL-sicheres Format zur Übertragung von Claims zwischen zwei Parteien. Tokens bestehen aus drei durch Punkte getrennten, Base64URL-kodierten Teilen: Header, Payload und kryptografische Signatur.

Beim Dekodieren werden Header und Claims als lesbares JSON extrahiert. Beim Verifizieren wird die HMAC-Signatur mit einem gemeinsamen Secret neu berechnet und die Zeitstempel exp, iat und nbf werden validiert. Die Verarbeitung erfolgt lokal mit Web Crypto; Secrets und Tokens werden nie übertragen.

JWT im Code dekodieren und verifizieren

JavaScript (Node.js)

const crypto = require("crypto");
const [header, payload, signature] = token.split(".");
const expected = crypto.createHmac("sha256", secret)
  .update(`${header}.${payload}`)
  .digest("base64url");
const isValid = crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));

Python

import hmac, hashlib, base64
header, payload, sig = token.split(".")
expected = base64.urlsafe_b64encode(
    hmac.new(secret.encode(), f"{header}.{payload}".encode(), hashlib.sha256).digest()
).decode().rstrip("=")
is_valid = hmac.compare_digest(sig, expected)