decode-a-jwt-safely
Decode a JWT without confusing readable claims with verified identity or authorization. Use when inspecting token structure, metadata, timing, audience, or signature requirements.
ソース情報
- リポジトリ
- protosphinx/sphinxstack
- ソースの最終更新活動
- 2026年7月29日 13:55
- 検出された SKILL.md の言語
- 英語
- スター
- 3
- フォーク
- 0
インストール方法
デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。
ソースファイルを確認
インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。
ファイルエクスプローラー
2 ファイルSKILL.md を表示中
SKILL.md
ソースの指示 · 読み取り専用プレビュー- name
- decode-a-jwt-safely
- category
- code
- description
- Decode a JWT without confusing readable claims with verified identity or authorization. Use when inspecting token structure, metadata, timing, audience, or signature requirements.
# decode-a-jwt-safely
## When to use
- Use for bounded debugging with an authorized redacted token.
- Never paste live tokens into third-party tools or treat decoding as verification.
## Preconditions
- Record token source, environment, expected issuer, audience, algorithm, and current time.
## Procedure
1. Work offline on a redacted or expired fixture where possible.
2. Parse header and payload without executing embedded content.
3. Inspect algorithm, key ID, issuer, audience, subject, scopes, issue, not-before, expiry, nonce, and token ID.
4. Distinguish malformed, decoded, signature-verified, claim-validated, and authorized states.
5. Verify signature only with trusted issuer metadata and allowed algorithms.
6. Validate time, issuer, audience, nonce, replay, and application authorization separately.
## Failure plan
- Reject ambiguous algorithm, key, issuer, audience, or clock state.
## Worked example
A token decodes correctly but uses the wrong audience, so the service rejects it before authorization.
## Done
- A JWT inspection report records safe metadata, verification state, claim checks, and authorization boundary
- Redaction, issuer, algorithm, key, audience, time, nonce, replay, and fixture checks verify handling
GitHubで見る