Un JWT ha tre parti: intestazione, payload e firma, codificate in base64url.
Decodifica
Usa il decodificatore JWT nel browser per controllare i claim. Non fidarti mai di un payload decodificato senza verificare la firma sul server.
Riepilogo
I JWT sono comodi per le API; decodificarli è istruttivo, ma non è un'autorizzazione.