JWT পার্সার

রিয়েল-টাইম ভ্যালিডেশন সহ JSON Web Tokens (JWT) ডিকোড এবং পরিদর্শন করুন। আপনার ব্রাউজারে নিরাপদে হেডার, পেলোড এবং স্বাক্ষর তথ্য দেখুন।

সংজ্ঞা: JSON Web Token হলো বিন্দু দিয়ে যুক্ত তিনটি Base64URL-এনকোডেড অংশ — হেডার, পেলোড, সিগনেচার। হেডার সাইনিং অ্যালগরিদমের নাম বহন করে, আর সিগনেচার RFC 7519 অনুযায়ী সেই অ্যালগরিদমের কী দিয়ে যাচাই হয়।

IETF RFC 7519 সর্বশেষ হালনাগাদ: 2026-09

Enter JWT Token

হেডার

পেলোড

স্বাক্ষর

অ্যালগরিদম

Signature not verified

JWT পার্সার কীভাবে ব্যবহার করবেন

টোকেন পেস্ট করুন

Paste your JWT token in the input area

স্বয়ংক্রিয় ডিকোড

Token automatically decodes on paste

অংশগুলো পরীক্ষা করুন

View header, payload, and signature data

স্ট্যাটাস পরীক্ষা করুন

টোকেনের বৈধতা ও মেয়াদ শেষের সময় যাচাই করুন

JWT টোকেন বোঝা

JWT কী?

JSON Web Token (JWT) হল দুই পক্ষের মধ্যে বিনিময়যোগ্য ক্লেইম উপস্থাপনের একটি সংক্ষিপ্ত, URL-নিরাপদ মাধ্যম। এতে তিনটি অংশ থাকে — হেডার, পেলোড ও সিগনেচার — বিন্দু দিয়ে পৃথক এবং base64url এনকোডেড।

• Header: Contains token type and signing algorithm
• Payload: Contains claims or user data
• Signature: Verifies token wasn't tampered with
• Stateless: No server-side session storage needed

JWT কেন পার্স করব?

JWT পার্সিং প্রয়োজন প্রমাণীকরণ সমস্যা ডিবাগ করতে, টোকেনের বিষয়বস্তু যাচাই করতে, মেয়াদ শেষের সময় পরীক্ষা করতে এবং বুঝতে যে টোকেনে কোন ডেটা পাঠানো হচ্ছে।

• Debugging: Inspect token contents during development
• Security: Verify token structure and claims
• Expiration: Check token validity period
• Development: Understand authentication flow

স্ট্যান্ডার্ড JWT ক্লেইম রেফারেন্স

প্রায় প্রতিটি টোকেন পেলোডে যে RFC 7519-নির্ধারিত রেজিস্টার্ড ক্লেইমের নাম আপনি দেখবেন।

ক্লেইম	পূর্ণ নাম	অর্থ
iss	জারিকারী	টোকেন কে তৈরি ও স্বাক্ষর করেছে
sub	বিষয়	টোকেন কার সম্পর্কে — সাধারণত ইউজার ID
aud	দর্শক	টোকেন কার জন্য নয় (একটি ক্লায়েন্ট বা API)
exp	মেয়াদ শেষ	যে Unix টাইমস্ট্যাম্পের পর টোকেনটি প্রত্যাখ্যান করতেই হবে
nbf	এর আগে নয়	যে Unix টাইমস্ট্যাম্পের আগে টোকেনটি অবৈধ
iat	জারির সময়	টোকেনটি কখন তৈরি হয়েছিল তার Unix টাইমস্ট্যাম্প
jti	JWT আইডি	ইউনিক শনাক্তকারী, রিভোকেশন তালিকার জন্য কার্যকর

সাধারণ JWT অ্যালগরিদম

• HS256 (HMAC + SHA-256): সিমেট্রিক — একটি শেয়ারড সিক্রেট দিয়েই স্বাক্ষর ও যাচাই। সহজ, কিন্তু সিক্রেট যার হাতে সে-ই টোকেন জাল করতে পারে।
• RS256 (RSA + SHA-256): অ্যাসিমেট্রিক — প্রাইভেট কী দিয়ে স্বাক্ষর, পাবলিক কী দিয়ে যাচাই। ডিস্ট্রিবিউটেড সিস্টেমের স্ট্যান্ডার্ড পছন্দ।
• ES256 (ECDSA + SHA-256): RS256-এর মতো অ্যাসিমেট্রিক, কিন্তু অনেক ছোট স্বাক্ষর — আধুনিক ব্যবহারের জন্য একটি ভালো ডিফল্ট।
• নেই: স্বাক্ষরহীন টোকেন। যেকোনো সিরিয়াস ভেরিফায়ারের এটি প্রত্যাখ্যান করা উচিত; ইতিহাসে এটিই ছিল গুরুতর বাইপাস দুর্বলতার উৎস।

নিরাপত্তা সংক্রান্ত নোট

• প্রোডাকশন টোকেন কখনোই অজানা জায়গায় পেস্ট করবেন না অজানা টুলে। এই পার্সার সম্পূর্ণ আপনার ব্রাউজারে চলে (পরীক্ষা: এটি অফলাইনেও কাজ করে), কিন্তু প্রতিটি সাইটের ক্ষেত্রে তা সত্য নয়।
• JWT এনক্রিপ্টেড নয়। পেলোডটি কেবল base64url-এনকোডেড — টোকেন যার হাতে আছে সে-ই পড়তে পারে। ক্লেইমে কখনোই সিক্রেট রাখবেন না।
• ডিকোড করা মানে যাচাই করা নয়। বৈধ দেখানো কাঠামো স্বাক্ষর সম্পর্কে কিছুই প্রমাণ করে না। যাচাইয়ের জন্য কী লাগে, যা কখনোই আপনার অথ সার্ভার ছেড়ে যায় না।
• exp সার্ভার-সাইডে যাচাই করুন। মেয়াদোত্তীর্ণ টোকেন প্রত্যাখ্যান করা ভেরিফায়ারের কাজ, ক্লায়েন্টের নয়।

ডেভেলপাররা কখন JWT পার্সার ব্যবহার করেন

401 ও 403 রেসপন্স ডিবাগ করা

সার্ভারকে দোষারোপ করার আগে দেখে নিন টোকেনে আসলে প্রত্যাশিত স্কোপ, রোল বা মেয়াদ ছিল কি না।

OAuth ও OIDC টোকেন পরীক্ষা

একটি id_token বা access_token ডিকোড করে নিশ্চিত হন যে iss, aud এবং sub আপনার অ্যাপ্লিকেশন কনফিগারেশনের সাথে মেলে।

সহায়তা ও সমস্যা সমাধান

কোনো লোকাল টুল সেটআপ ছাড়াই স্ক্রিনশট থেকে যাচাই করুন ব্যবহারকারী আসলে কোন কোন ক্লেইম পেয়েছেন।

JWT কীভাবে কাজ করে শেখা

নমুনা টোকেন পেস্ট করে দেখুন হেডার, পেলোড ও সিগনেচার কীভাবে একসাথে খাপ খায়।

তাৎক্ষণিক ডিকোডিং

পেস্ট করলেই JWT স্বয়ংক্রিয়ভাবে ডিকোড হয়, রঙিন কোডের অংশগুলোসহ।

১০০% ব্যক্তিগত

সম্পূর্ণ ডিকোডিং আপনার ব্রাউজারেই হয়। টোকেন কখনও আপনার ডিভাইস ছেড়ে বাইরে যায় না।

সম্পূর্ণ বিনামূল্যে

নিবন্ধন বা সীমা নেই। JWT টোকেন যখন খুশি স্বাধীনভাবে পার্স করুন।

JWT পার্সার সংক্রান্ত প্রায়শই জিজ্ঞাসিত প্রশ্ন

এই টুলে একটি JWT পেস্ট করা কি নিরাপদ?

হ্যাঁ। ডিকোডিং সম্পূর্ণ আপনার ব্রাউজারেই চলে, কোনো নেটওয়ার্ক কল ছাড়াই — ইন্টারনেট বিচ্ছিন্ন করে পেজটি রিলোড করলেই এটি যাচাই করতে পারেন। তবুও, সাধারণ সতর্কতা হিসেবে প্রোডাকশন টোকেন কোথাও পেস্ট করা এড়িয়ে চলুন।

JWT পার্স করলে কি তার সিগনেচার যাচাই হয়ে যায়?

না। পার্সিং শুধু হেডার ও পেলোড base64url-ডিকোড করে। সিগনেচার যাচাই করতে সাইনিং কী (HMAC সিক্রেট বা পাবলিক কী) লাগে, যা শুধু আপনার অথ সার্ভারের কাছেই থাকে।

কেন যে কেউ আমার JWT পেলোড পড়তে পারে?

JWT পেলোড এনকোডেড হয়, এনক্রিপ্টেড নয়। টোকেন যার কাছেই আছে, সে ক্লেইমগুলো ডিকোড করে পড়তে পারে — এটাই ডিজাইন। JWT পেলোডে কখনোই সিক্রেট বা সংবেদনশীল ডেটা রাখবেন না।

টোকেনের মেয়াদ কখন শেষ হয় তা আমি কীভাবে জানব?

exp ক্লেইমটি দেখুন — একটি Unix timestamp, যার পরে টোকেন বাতিল করতেই হবে। exp ও nbf-এর ভিত্তিতে এই পার্সার টোকেনের অবস্থা (সক্রিয়, মেয়াদোত্তীর্ণ বা এখনো অবৈধ) স্বয়ংক্রিয়ভাবে তুলে ধরে।

HS256 এবং RS256-এর মধ্যে পার্থক্য কী?

HS256 প্রতিসম: একটি শেয়ারড সিক্রেট স্বাক্ষর ও যাচাই দুটোই করে, তাই যে যেকোনো ব্যক্তি টোকেন যাচাই করতে পারে সে জাল টোকেনও বানাতে পারে। RS256 অপ্রতিসম: একটি প্রাইভেট কী স্বাক্ষর করে আর একটি পাবলিক কী যাচাই করে, যা একাধিক পরিষেবাকে টোকেন যাচাই করতে হলে বেশি নিরাপদ। নির্দিষ্ট কারণ না থাকলে RS256 বা ES256 বেছে নিন।

আমার টোকেন হেডারে "alg": "none" লেখা — এটা কি সমস্যা?

এর অর্থ টোকেনটি স্বাক্ষরহীন। এটি বৈধ JWT কাঠামো, কিন্তু যাচাইকারীর কখনই এটি গ্রহণ করা উচিত নয়: JWT-এর ক্লাসিক দুর্বলতা ছিল আক্রমণকারীরা alg-কে none সেট করে স্বাক্ষর যাচাই এড়িয়ে যাওয়া। আপনার ব্যাকএন্ড যদি স্বাক্ষরহীন টোকেন গ্রহণ করে, তবে এটিকে নিরাপত্তা বগ হিসেবে ধরুন।