JWT পার্সার

হ্যাঁ, এই টুল ব্যবহার করলে। সব প্রক্রিয়াকরণ ১০০% আপনার ব্রাউজারেই হয়। আপনার টোকেন কখনো কোনো সার্ভারে পাঠানো হয় না। তবে অন্য অনলাইন টুলে সতর্ক থাকুন — তারা আপনার টোকেন তাদের সার্ভারে পাঠাতে পারে।

HMAC-ভিত্তিক টোকেনে (HS256 ইত্যাদি) সিক্রেট কী থাকলে সিগনেচার যাচাই করতে পারেন। RSA-ভিত্তিক টোকেনে (RS256 ইত্যাদি) পাবলিক কী লাগবে। উল্লেখ্য, আপনার সুবিধার্থে এই যাচাই ক্লায়েন্ট-সাইডেই হয়।

বর্তমান সময় পেলোডের "exp" (মেয়াদ) claim-এর ছাড়িয়ে গেলে JWT-এর মেয়াদ শেষ হয়। এই টুল এই সময়-claim অনুযায়ী দেখায় টোকেনটি মেয়াদোত্তীর্ণ নাকি সক্রিয়, নাকি এখনো বৈধ নয়।

পেলোড পরিবর্তন করতে পারেন, কিন্তু সাইনিং কী না থাকলে সিগনেচার আর বৈধ থাকবে না। এটিই JWT-এর সুরক্ষা কৌশল — যেকোনো পরিবর্তন সিগনেচার অবৈধ করে দেয়।

"exp" (মেয়াদ) নির্দিষ্ট করে টোকেনটি কখন থেকে অবৈধ হবে, আর "nbf" (এর আগে নয়) নির্দিষ্ট করে টোকেনটি কখন থেকে বৈধ হবে। যেমন, ভবিষ্যতে বৈধ হবে এমন টোকেন বানাতে "nbf" সেট করতে পারেন।

না! JWT পেলোড base64 এনকোডেড, এনক্রিপ্টেড নয়। যে কেউ এর বিষয়বস্তু ডিকোড করে পড়তে পারে। JWT-তে কখনো পাসওয়ার্ড, API কী বা অন্য কোনো সংবেদনশীল তথ্য রাখবেন না।

প্রোডাকশন অ্যাপ্লিকেশনে RS256 বা ES256-এর মতো অসিমেট্রিক অ্যালগরিদম ব্যবহার করুন। "none" অ্যালগরিদম এড়িয়ে চলুন — এটি কোনো সুরক্ষা দেয় না। HS256 ব্যবহার করা যায়, তবে সিক্রেট যত্ন সহকারে সামলাতে হবে।

JWT এমনভাবে ডিজাইন করা হয়েছে যে বিশেষ কোনো টুল ছাড়াই ডিকোড করা যায়। হেডার ও পেলোড নিছকই base64-এনকোডেড JSON। এই টুল JavaScript দিয়ে সেগুলো ডিকোড করে আপনার ব্রাউজারে দেখায়। কোনো সার্ভার যোগাযোগের প্রয়োজন হয় না।