JWT 解码器有什么用？

它将 JSON Web Token 的三个部分——头部、载荷和签名——分离并解码，把头部和载荷内容显示为可读的彩色 JSON，并展示过期与签名状态。

解码是如何进行的？

JWT 的头部和载荷只是 Base64URL 编码（并非加密）。工具将这些部分解码为 JSON 并显示。签名保持编码状态，因为它是用于验证完整性的加密哈希。

在这里粘贴令牌安全吗？

安全。所有解码都通过 JavaScript 在你的浏览器本地完成。没有任何令牌、密钥或数据被发送到 ToolboxHub 服务器。不过，仍应避免公开分享有效的生产环境令牌。

如何验证签名？

对于使用 HMAC（HS256、HS384 或 HS512）签名的令牌，在对应字段输入密钥：工具会在本地重新计算签名并告诉你是否匹配。对于非对称算法（RS256、ES256 等），验证需要公钥，此处不进行。

如何知道令牌是否已过期？

工具会读取载荷中的 exp（过期）和 nbf（not before）声明，转换为你所在时区的日期时间，并显示一个标记，指示令牌是有效、已过期还是尚未生效。

支持哪些算法？

解码适用于任何 JWT，与算法无关。内置的签名验证覆盖 HMAC 算法：HS256、HS384 和 HS512。非对称算法会被解码但不验证。

为什么载荷没有加密？

标准 JWT 是签名的，而非加密的：任何持有令牌的人都能读取载荷。签名保证内容未被篡改，但不会隐藏它。因此，切勿在 JWT 载荷中放入敏感数据（密码、银行卡等）。

免费在线 JWT 解码器：头部、载荷与签名

关于 JWT 解码器

粘贴一个 JSON Web Token（JWT），即可以结构化的彩色视图查看其三个部分：头部（算法与类型）、载荷（声明、过期时间与作用域）以及签名。所有解码都在你的浏览器本地完成——令牌绝不发送到任何服务器。对于 HMAC 令牌，你可以输入密钥来验证签名。要生成哈希，请使用我们的哈希生成器。

三步完成解码

将 JWT 令牌粘贴到输入框。
自动解码显示头部、载荷和签名。
检查过期时间；若为 HMAC 令牌，输入密钥验证签名。

JWT 的结构

JWT 由三个以点分隔、Base64URL 编码的部分组成：header.payload.签名。

部分	颜色	含义
头部	红色	元数据：签名算法（alg）与类型（typ）。
载荷	蓝色	声明：关于用户的数据、权限、签发与过期。
签名	青色	保证令牌完整性；使用密钥对头部和载荷计算得出。

JWT 注册声明

下列声明由 RFC 7519 标准化。载荷中也可能出现其他（自定义）声明。

声明	名称	含义
`iss`	签发者	签发令牌的一方（issuer）。
`sub`	主题	令牌的主题，通常是用户 ID（subject）。
`aud`	受众	令牌面向的接收方（audience）。
`exp`	过期时间	过期时间——此后不应再接受该令牌（expiration）。
`nbf`	生效时间	在此时间之前令牌无效（not before）。
`iat`	签发时间	令牌签发的时间（issued at）。
`jti`	令牌 ID	令牌的唯一标识符（JWT ID）。

JWT 解码器