JWT解码器 - 在线解码并验证JSON Web令牌

JSON Web令牌（JWT）是RFC 7519定义的一种紧凑、适合URL的方式，用于在双方之间传递已签署的声明。在现代Web开发中，JWT无处不在：OAuth 2.0和OpenID Connect的访问令牌与ID令牌、单页应用的会话Cookie、服务间身份验证、密码重置链接以及Webhook签名。每个JWT都由三个以点连接的Base64URL编码片段组成。第一段是头部，一个说明签名算法和令牌类型的小型JSON对象。第二段是载荷，包含实际声明的JSON对象——谁签发了令牌、令牌针对谁，以及何时过期。第三段是根据前两段计算出的签名。 此JWT解码器会拆分令牌、解码头部和载荷，并将两者格式化为易读的JSON。它还会提取载荷中的注册声明——签发者、主题、受众、过期时间、签发时间、生效时间和令牌ID，并将时间类声明同时显示为原始Unix时间戳和易读的UTC日期。状态行会立即告诉你令牌是否已过期、尚未生效或完全没有过期时间；当API突然返回401时，这是开发者最常需要检查的项目。 解码JWT不需要密钥，因为Base64URL是编码而不是加密：任何持有令牌的人都能读取其内容。因此，绝不要把密码或其他敏感数据放入JWT载荷。验证则需要密钥。如果令牌使用对称的HMAC-SHA-256算法签署，你可以在可选验证区域粘贴共享密钥，工具会通过浏览器内置的Web Crypto API重新计算签名，并与令牌中的签名比较。匹配表明令牌由持有该密钥的人生成且未被修改。 当你粘贴生产系统中的真实令牌时，隐私非常重要。此工具的所有工作都在浏览器标签页内完成：令牌和密钥在本地JavaScript中处理，从不通过网络发送、存储或记录。关闭标签页后它们就消失了。请注意限制：RS256或ES256等非对称算法需要签发者的公钥，此处无法验证；签名检查也不能说明是否应信任签发者——请始终在后端验证签发者和受众。 典型用途包括调试登录流程、检查访问令牌被拒的原因、确认令牌授予的作用域或角色、比较不同环境中的令牌，以及学习JWT格式。