Is a JWT payload (claims) “secret encrypted” so nobody can read it?

JWT (JSON Web Token) là một loại token được sử dụng để xác thực người dùng. Payload của JWT chứa các thông tin về người dùng, chẳng hạn như tên, email, v.v. Tuy nhiên, payload không được mã hóa theo cách bí mật như AES. Thay vào đó, nó được mã hóa bằng Base64URL, một phương thức mã hóa không bí mật. Điều này có nghĩa là bất kỳ ai cũng có thể đọc được payload của JWT, nhưng không thể thay đổi hoặc giả mạo nó mà không bị phát hiện. Signature của JWT được tạo bằng cách sử dụng một thuật toán kĩ thuật số, chẳng hạn như HMAC, và được sử dụng để xác thực tính hợp lệ của payload. Vì vậy, mặc dù payload của JWT có thể đọc được, nhưng signature giúp ngăn chặn việc giả mạo hoặc thay đổi payload.