API и безопасность

Инструменты для JWT и OAuth

Отладка аутентификации обычно начинается с токена или заголовка, который ведёт себя не так, как ожидалось: JWT не проходит проверку подписи, редирект OAuth теряет параметр, или заголовок Authorization нужно собрать вручную для быстрого теста. Здесь собраны инструменты для JWT и JWK, сборка URL OAuth и OIDC с PKCE и помощники заголовков для Basic и Bearer аутентификации.

Декодер JWT показывает claims как читаемые даты UTC и умеет проверять подпись, если вы укажете ключ, а Конструктор OAuth / OIDC собирает полный запрос авторизации с PKCE и может разобрать полученный callback. Просмотр и проверка конфигурации OIDC сравнивает discovery-документы двух провайдеров рядом — это помогает при переходе на другого провайдера идентификации. Всё здесь работает локально на токене или URL, который вы передаёте.

7 инструментов

Все инструменты категории «JWT / OAuth / Auth»

Вопросы об инструментах категории «JWT / OAuth / Auth»

Можно ли декодировать JWT, не зная секретный ключ?

Да — заголовок и payload JWT только закодированы в base64url, а не зашифрованы, поэтому Декодер JWT сразу показывает claims. Проверка подписи — другое дело, для неё нужен реальный ключ подписи или публичный ключ, и инструмент проверяет подпись, только когда вы его укажете.

Что такое PKCE и зачем он нужен в моём потоке OAuth?

PKCE не даёт перехваченному коду авторизации быть использованным атакующим, требуя от исходного клиента доказать, что у него есть секретный verifier. Генератор PKCE здесь создаёт verifier и парный challenge по S256 для тестирования потока OAuth, которому это требуется.

В чём разница между Bearer-токеном и Basic Auth?

Basic Auth отправляет закодированные в base64 логин и пароль с каждым запросом, а Bearer-токен — непрозрачный или структурированный, часто JWT, выданный после отдельного шага входа. Помощник для заголовков авторизации умеет собрать заголовок Basic Auth и разобрать структуру уже имеющегося Bearer-токена.