JWT 解码器

JWT 解码工具是什么？

JWT 解码工具会把 JSON Web Token 拆成三部分：头部（header）、载荷（payload）和签名（signature），并对前两部分做 Base64URL 解码，让你能以 JSON 的形式读取。开发者在调试登录流程、权限、会话声明和令牌过期问题时经常用到它。

解码 JWT 不等于信任它。头部和载荷本来就是可读的：它们只是经过 Base64URL 编码，并没有加密。验证才是检查令牌是否由预期的一方签发、有没有被篡改的步骤。

JWT 的样子是 header.payload.signature。每部分都经过 Base64URL 编码，用点号分隔。头部说明使用了哪种签名算法，载荷携带各项声明（用户是谁、令牌何时过期、允许做什么），签名则让服务器能够证明令牌没有被修改过。

解码 JWT 时你会学到什么

• JWT 由三个经过 Base64URL 编码的部分组成，用点号分隔：header.payload.signature。
• sub、role、iat、nbf 和 exp 等常见声明分别描述身份、权限、签发时间和过期时间。
• 解码后的载荷谁都能修改：只有签名能让服务器发现篡改。
• 算法各不相同：HS256 使用共享密钥；RS256 和 ES256 使用公钥/私钥对。头部的 alg 字段会告诉你用的是哪一种。

如何一步步解码 JWT

1. 1

   粘贴完整的令牌

   把 JWT 粘贴到输入框。它看起来应该像 xxxx.yyyy.zzzz：三个经过 Base64URL 编码、用点号连接的部分。

2. 2

   查看头部

   头部会告诉你签名算法（alg）和令牌类型。留意 "alg": "none"：这表示令牌没有签名，不能信任。

3. 3

   查看载荷中的声明

   载荷是包含所有声明的 JSON。找找 sub（用户 id）、exp（过期时间）、iat（签发时间），以及你的应用自己添加的声明，比如 role 或 tenant。

4. 4

   检查是否过期

   把 exp 这个 Unix 时间戳转换成日期：如果已经过去了，说明令牌已过期，任何规范的 API 都会拒绝它。

5. 5

   验证签名（可选）

   如果你有密钥或公钥，把它粘贴到验证器中，确认签名有效。只有签名验证通过，令牌的内容才可信。

JWT 标准声明

这些是 JWT 规范（RFC 7519）定义的注册声明。任何应用都可以在它们之外添加自定义声明。

可以试试的 JWT 示例

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

常见的 JWT 错误

• 把密码、密钥或敏感个人数据放进载荷。JWT 是可读的，没有加密。
• 解码了令牌，没检查签名就认为它有效。
• 把 Base64URL 的可读性和加密混为一谈：JWT 的载荷本来就是设计成容易读取的。
• 把 JWT 存进 localStorage 却没考虑 XSS 的影响，还给它设置了很长的有效期。
• 不校验 aud（受众）声明：如果接收方不检查，签发给一个服务的令牌可能被拿去另一个服务冒用。

JWT 常见问题