工具说明
JWT(JSON Web Token)是一种紧凑的令牌格式,由三段用点号分隔的 Base64URL 字符串组成:header.payload.signature。前两段分别是描述算法的头部和承载声明(claims)的负载,它们只是被 Base64URL 编码、并未加密;第三段签名用于验证令牌未被篡改。本工具把 header 和 payload 解码成可读的 JSON,并帮你看清 exp(过期时间)、iat、sub 等常见声明。
安全是这个工具的核心卖点:解码全部在你的浏览器本地完成,token 绝不会被发送到任何服务器。这一点很重要——JWT 常常等同于登录凭证,把它粘到会上传的在线工具里就等于泄露身份。在这里你可以放心地查看令牌内容。
使用步骤
- 把完整的 JWT 粘贴到输入框,它应当包含两个点号、形如 xxx.yyy.zzz。
- 工具立刻把 header 和 payload 从 Base64URL 解码成 JSON 并分区展示。
- 查看 payload 中的声明,特别留意 exp 是否已过期、iss/aud 是否符合预期。
- 需要时复制解码后的 JSON 用于排查问题。
- 整个过程不联网、不上传;关闭页面后输入即被丢弃。
适用场景
- 调试登录态时查看 token 里到底带了哪些用户信息和权限。
- 排查「明明登录了却报未授权」——往往是 exp 已过期。
- 核对前后端对 claim 字段的命名和取值是否一致。
- 学习 JWT 结构时直观看到 header / payload 的真实内容。
- 在不验证签名的前提下,安全地检查一个可疑或第三方令牌。
常见问题
我的 token 会被发送到服务器吗?
绝对不会。解码完全在你的浏览器本地完成,token 不上传、不记录、不留存。由于 JWT 常等同于登录凭证,这一点对安全至关重要。
它会验证 token 的签名吗?
不验证。本工具只解码 header 与 payload 供你查看,验证签名需要密钥且应在服务端进行。解码出的声明仅供参考,不代表令牌有效。
JWT 的 payload 是加密的吗?
默认不是。payload 只是 Base64URL 编码,任何人都能解码读取。因此不要在 JWT 里放敏感明文信息——签名只保证不被篡改,不保证保密。
怎么判断 token 是否已过期?
看 payload 里的 exp 声明,它是一个 Unix 时间戳;若早于当前时间即已过期。iat、nbf 也常用于时间相关判断。