Dekodiert ein kompaktes JWT lokal und zeigt verschachtelte Header-/Payload-Objekte und Arrays als aufklappbaren, typisierten Baum – ohne Echtheitsaussage. Perfekt für Entwickler und Sicherheitsanalysten, die komplexe JWT-Claims hierarchisch untersuchen, Verschachtelungstiefe verstehen und benutzerdefinierte Felder identifizieren möchten.
JWT-Werkzeuge
JWT zum Überprüfen einfügen
Header und Payload werden hier angezeigt.
Die Baumansicht nutzt den gleichen Drei-Segment-JSON-Parser wie der Decoder; sie erklärt Struktur, stellt aber bewusst keine Authentizität fest.
Dieser implementierungsspezifische Ablauf für JWT-Baumansicht entspricht den tatsächlichen Bedienelementen und Grenzen des Browser-Arbeitsbereichs.
Schritt 1
Vollständiges dreiteiliges JWT ohne Bearer-Präfix einfügen oder das Beispiel laden.
Schritt 2
Live für sofortiges Parsing aktiviert lassen oder deaktivieren und nach Abschluss „Baum anzeigen“ nutzen.
Schritt 3
Den gemeinsamen Parser Header und Payload als Base64URL-kodierte UTF-8-JSON-Objekte lesen lassen.
Schritt 4
Objekte/Arrays aufklappen und Schlüsselpfad, primitiven Typ sowie Wert exakt mit dem erwarteten Claim-Schema vergleichen.
Schritt 5
Für Zeitclaims zum JWT Decoder und für unterstützte HMAC-Prüfung mit unverändertem Token zum JWT Verifier wechseln.
Folge: Angreifergesteuertes JSON wird genauso dargestellt; die Verifizierungsfunktion wird nie aufgerufen.
Lösung: Nur als Strukturdebugger nutzen und das unveränderte Token separat verifizieren.
Folge: An den Renderer werden nur Header und Payload gegeben; der dritte Teil erscheint hier nicht.
Lösung: JWT Decoder für Byteansicht oder JWT Verifier für ein HMAC-Prüfresultat verwenden.
Folge: Jeder Wert erzeugt rekursive React-Knoten; diese Oberfläche erzwingt keine Tiefen-/Schlüsselgrenze und kann hängen.
Lösung: Große Tokens kontrolliert untersuchen und unnötige Zweige geschlossen lassen.
Token dekodieren, exakten Claim-Pfad und JSON-Typ bestimmen und anschließend Authentizität sowie Anwendungspolicy prüfen.
Header/Payload sind gültige Base64URL-JSON-Objekte; die Textsignatur ist strukturell erlaubt, wird aber weder gezeigt noch geprüft.
Wurzel und erste verschachtelte Ebene starten offen; tiefere Objekte/Arrays bleiben zur Übersicht geschlossen.
Nein. Er zeigt Typ und Lage, aber Bedeutung entsteht erst durch verifizierte Autorisierungsregeln der Anwendung.
Ja. Arrays erhalten indexierte Kinder und im geschlossenen Zustand eine Anzahl; Objekte erhalten benannte Kinder.
Fünf Teile weisen auf JWE/andere nicht unterstützte Form hin; der gemeinsame Parser verlangt exakt drei Segmente.
Als Daten ja, vertrauen nein. Die Ansicht liefert kein Signatururteil; unsignierte Tokens müssen ohne ausdrücklich sicheren Protokollfall abgewiesen werden.
Token und geöffneter Baum bleiben in diesem Browser und funktionieren nach Caching offline. Zwischenablage wird nur durch „Einfügen“ gelesen; eine Verlaufsspeicherung oder ein Upload findet nicht statt.
