JWT ডিকোডার

JWT ডিকোডার কী?

JWT Decoder একটি বিনামূল্যের অনলাইন টুল যা JSON Web Token (JWT) ডিকোড করে ও পরিদর্শন করে, যাতে ডেভেলপাররা অনুমান ছাড়াই একটি অ্যাক্সেস টোকেন, ID টোকেন বা বিয়ারার টোকেনের বিষয়বস্তু পড়তে পারেন। স্ট্যান্ডার্ড header.payload.signature ফরম্যাটে একটি টোকেন পেস্ট করুন, এটি header ও payload-কে base64url দিয়ে ডিকোড করে, উভয়কে সুবিন্যস্ত JSON হিসেবে দেখায়, এবং iat, nbf ও exp সময়ের ক্লেইমগুলোকে মানুষ-পঠনযোগ্য তারিখ হিসেবে একটি লাইভ মেয়াদোত্তীর্ণ/বৈধ ব্যাজসহ উপস্থাপন করে। এটি ব্যাকএন্ড ও ফ্রন্টএন্ড ইঞ্জিনিয়ার, QA টেস্টার এবং API ইন্টিগ্রেটরদের জন্য তৈরি, যারা প্রমাণীকরণ প্রবাহ, OAuth/OIDC সেশন বা টোকেন মেয়াদ-সংক্রান্ত সমস্যা ডিবাগ করেন। লক্ষ করুন, এটি একটি ডিকোডার, যাচাইকারী নয় — এটি স্বাক্ষর পরীক্ষা করে না, তাই এটি কেবল পরিদর্শনের জন্য।

JWT ডিকোডার কীভাবে ব্যবহার করবেন

1. আপনার অ্যাপ, ব্রাউজার ডেভ টুলস, বা একটি Authorization: Bearer হেডার থেকে আপনার JWT (header.payload.signature) কপি করুন।
2. এটি 'JWT token' টেক্সট এরিয়ায় পেস্ট করুন।
3. ইনপুটের নিচে Header ও Payload অংশে ডিকোড করা, সুবিন্যস্ত JSON পড়ুন।
4. পেলোডে iat, nbf, বা exp থাকলে টোকেনের আয়ুষ্কাল দেখতে Issued (iat), Not before (nbf), এবং Expires (exp) স্ট্যাট কার্ড ও মেয়াদোত্তীর্ণ/বৈধ ব্যাজ দেখুন।
5. ফরম্যাট করা JSON কপি করতে Header বা Payload-এর কপি বোতাম ব্যবহার করুন, অথবা ইনপুট রিসেট করতে সাফ করুন-এ ক্লিক করুন।

উদাহরণ

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0In0.sig

{
  "alg": "HS256",
  "typ": "JWT"
}

not-a-jwt

Malformed token — expected header.payload.signature

সচরাচর জিজ্ঞাসিত প্রশ্ন

এই টুলটি কি JWT স্বাক্ষর যাচাই করে?

না। এটি কেবল হেডার ও পেলোড ডিকোড করে দেখায় — স্বাক্ষর যাচাই করে না। সার্ভার-সাইডে স্বাক্ষর যাচাই না হওয়া পর্যন্ত একটি ডিকোড করা পেলোডকে কখনও বিশ্বাস করবেন না; আউটপুটকে কেবল পরিদর্শন হিসেবে গণ্য করুন।

এটি কোন টোকেন ফরম্যাট প্রত্যাশা করে?

অন্তত একটি header.payload অংশসহ একটি স্ট্যান্ডার্ড JWT (header.payload.signature)। এটি ডটে বিভক্ত করে এবং প্রথম দুটি খণ্ড base64url দিয়ে ডিকোড করে, তাই ডিকোডিংয়ের সময় স্বাক্ষর অংশটি উপেক্ষা করা হয়।

এটি কোন সময়ের ক্লেইম দেখায়?

এটি স্ট্যান্ডার্ড সংখ্যাসূচক এপোক-সেকেন্ড ক্লেইম iat (ইস্যু করা হয়েছে), nbf (এর আগে নয়) ও exp (মেয়াদ শেষ) দেখায় এবং প্রতিটিকে পাঠযোগ্য স্থানীয় তারিখ হিসেবে ফরম্যাট করে। এটি মেয়াদোত্তীর্ণ টোকেন চিহ্নিত করে এবং nbf ভবিষ্যতে থাকার কারণে টোকেন এখনও বৈধ না হলে সতর্ক করে। এই ক্লেইমগুলোর অন্তত একটি থাকলেই কেবল স্ট্যাট কার্ড দেখা যায়।

আমার টোকেন কি কোথাও আপলোড বা পাঠানো হয়?

না। সবকিছু অন্তর্নির্মিত base64 ও JSON ডিকোডিং ব্যবহার করে সম্পূর্ণভাবে আপনার ব্রাউজারে ক্লায়েন্ট-সাইডে চলে — আপনার টোকেন কখনও কোনো সার্ভারে আপলোড হয় না, যা সংবেদনশীল অ্যাক্সেস টোকেন পরিদর্শনকে নিরাপদ করে।

বৈধ দেখতে একটি টোকেনে কেন ত্রুটি পাই?

ইনপুটে দুটির কম খণ্ড থাকলে বা হেডার/পেলোড খালি থাকলে আপনি 'Malformed token' বার্তা দেখবেন, এবং কোনো খণ্ড বৈধ base64url-এনকোডেড JSON না হলে আপনি 'invalid' ত্রুটি দেখবেন। নিশ্চিত করুন যে আপনি অতিরিক্ত ফাঁকা স্থান বা চারপাশের উদ্ধৃতি চিহ্ন ছাড়াই সম্পূর্ণ টোকেন পেস্ট করেছেন।