Советы по валидации JWT

Локальные проверки удобны для отладки; в проде нужна проверка подписи боевым ключом.

Отклоняйте alg=none и атаки подмены алгоритма.

Явно проверяйте expiry и audience.

Не вставляйте боевые signing secrets в этот инструмент.

Расхождение часов даёт ложные ошибки exp/nbf.

Проверка подписи JWT, если ключ уже есть

Обработка выполняется в браузере — введённые данные не загружаются на наши серверы.

Валидация сверяет подпись секретом или открытым ключом, который вы даёте, и может ругнуться на просроченный `exp`. Для своих токенов в тесте.

Это не OAuth к живому issuer. Боевые ключи клиентов сюда не кладите.

Вставьте токен и ключ
HMAC — общий секрет; RSA/EC — открытый ключ, парный issuer.
Запустите проверку
Ошибка — чужой ключ, обрезанный токен или рассинхрон часов на `exp`/`nbf`.
Очистите оба поля
Ключ плюс токен — достаточно, чтобы выдать себя за пользователя. Не оставляйте во вкладке.

Payload читается без ключа. Провал validate значит, что подпись этому ключу не соответствует.

Нет. Проверка в браузере.

Только decode. Подпись всегда требует парный секрет или открытый ключ.