解码 JWT 令牌

粘贴 JWT 令牌,查看解码后的 header 和 payload,方便调试身份验证。100% 在您的浏览器中本地处理(WebAssembly)。

示例:

注意:并未验证签名。 本工具只解码令牌的内容(header 和 payload)供您查看,绝不能证明令牌是真实的。切勿仅凭解码结果就信任某个令牌:加密验证必须始终在服务器端完成。

工作原理

JWT(JSON Web Token)由三部分组成,以点号分隔:header.payload.signature。Header 和 payload 只是经过 Base64URL 编码(并未加密),这意味着任何人无需密钥或密码就能看到其内容。这正是本工具的典型用途:粘贴 API 返回的身份验证令牌,在调试时快速查看其中的实际内容(过期时间 exp、用户角色、标识符等),无需编写代码,也无需搭建后端。

为什么我手动修改过令牌,它仍然「有效」?

因为本工具不验证签名:它只是对 header 和 payload 进行 Base64URL 解码,和任何检查工具完全一样。而配置正确的服务器会根据内容重新计算签名,并与令牌中提供的签名进行比较,没有正确密钥而被修改的 payload 会在此时被拒绝,即使它在这里可以完美解码。

payload 中的 exp 字段是什么意思?

exp(「过期时间」)是一个 Unix 时间戳(自 1970 年起的秒数),超过该时间后令牌应被视为已过期。遵循 JWT 标准的服务器会拒绝当前时间已超过该值的令牌发出的任何请求,无论其签名是否有效。

隐私说明:解码完全通过 WebAssembly 在您的浏览器中完成,您的令牌内容即使包含敏感数据,也不会离开您的设备。