See inside any JWT — header, payload and expiry

将编码后的 JWT（以 eyJ… 开头的长字符串）粘贴到输入框中。工具会按两个点将其分割，对头部和载荷进行 Base64URL 解码，并分别显示各自的 JSON 以及原始签名段——整个过程不发起任何网络请求。

不会。解码器只解析令牌——它不会用密钥或公钥校验签名，因为验证需要签发方的密钥材料。生产环境的验证请使用服务端的 JWT 库；本工具仅用于查看和调试。

你会获得头部（算法和密钥 id）、载荷声明（sub、iss、aud、iat、exp 以及任何自定义声明）和原始签名。标准的时间戳声明会被格式化为易读的日期，让你一眼就能发现过期的令牌。

如果载荷中包含标准的 "exp" 声明，工具会将其与当前时间进行比较，并显示「有效期至」或「令牌已于……过期」以及精确的时间戳。不含 exp 声明的令牌会被标注为永不过期。

任何人只要能读取 JWT 的载荷，便可在其过期前使用它，因此生产环境的令牌应只在私密工具中处理。本解码器完全在你的浏览器中运行，绝不会传输令牌，但更稳妥的做法是尽量只解码生命周期较短的开发令牌。

JWT 由三段以点分隔的 Base64URL 编码片段组成：头部（签名算法）、载荷（签发方希望验证方信任的声明）和签名（对 header.payload 计算的 MAC 或数字签名）。解码从不需要密钥——只有验证才需要。

一种紧凑、URL 安全的令牌，由三段 Base64URL 组成——头部、负载和签名——携带经过签名的声明，例如用户 ID 和过期时间。它被广泛用于无状态登录会话和保护 API 请求。在上方粘贴一个令牌即可查看其头部和负载。

在解码后的头部和载荷下方，将签名密钥（用于 HS256）或以 PEM 或 JWK 格式提供的签发者公钥（用于 RS256、ES256 等）粘贴到"验证签名"框中，然后点击"验证"。随后出现的徽章会告知签名是有效、无效，还是使用了浏览器端验证器不支持的算法——全部在本地计算，不会将令牌或密钥发送到任何地方。

对于 HS256 等 HMAC 算法，你需要粘贴原始的共享密钥字符串。对于 RS256、RS384 或 ES256 等非对称算法，你需要签发方的公钥——绝不是私钥——以 PEM 块或 JWK 形式提供；粘贴非对称密钥对中错误的一半会导致验证失败，即使令牌本身有效。

“验证签名”面板支持所有主流 JOSE 算法：HS256/384/512（使用共享密钥的 HMAC）、RS256/384/512（使用 RSA 公钥的 RSASSA-PKCS1-v1_5）、PS256/384/512（使用 RSA 公钥的 RSA-PSS）以及 ES256/384/512（在对应的 P-256/P-384/P-521 曲线上的 ECDSA）。以 "none" 或此列表之外的任何算法签名的令牌始终会被报告为不受支持，而不会被标记为有效，这也能保护你免受经典的 alg=none 伪造伎俩的侵害。

最常见的原因是把多余的空白或末尾换行粘贴进了密钥框——验证器会对你输入的确切字节进行哈希，因此复制粘贴带来的杂质会破坏匹配。另外，再次确认你验证的是当前令牌：如果 JWT 在你复制后被重新签发，或者提供方的密钥是 base64 编码而非原始字符串，请先解码再粘贴进去。

点击「试用示例 JWT」加载一个带有 sub、name、iat 和 exp 声明的演示 HS256 令牌，让你在粘贴自己的令牌之前，先看到解码和过期检查的效果。令牌进入框内后，旁边会出现一个「清除」按钮，一键即可将输入清空。

Header、Payload 和 Signature 三个面板各自在右上角有独立的复制按钮，仅将该部分的 JSON（或原始签名字符串）复制到剪贴板。面板下方还有一个主“复制 Payload”按钮，用于最常见的情形：只抓取声明内容以粘贴到调试器或缺陷报告中。

复制 Authorization 请求头中“Bearer ”之后的值——也就是 eyJ… 开头的部分，那才是 JWT 本身——然后粘贴到解码器中，即可立即查看头部、载荷声明和过期状态。如果你复制了整个“Bearer eyJ…”字符串，请先去掉“Bearer ”前缀，确保令牌只包含由点分隔的三部分。

不能——这是一个解码和查看工具,并非 JWT 编辑器。修改载荷(payload)会使签名失效,任何验证该令牌的服务器都会拒绝被篡改的版本。要修改声明(claims),你必须使用正确的密钥或私钥重新签发一个新令牌。请用这个解码工具来读取和调试令牌,而不是修改它们。