JWT解码器
即时解码和检查JWT（JSON Web Token）的头部和载荷信息。免费在线JWT解析工具，完全在浏览器中运行。
什么是JWT解码器？
JWT解码器是一款免费的在线工具，可以解码JSON Web Token（JWT）并以人类可读的JSON格式显示头部和载荷内容。它通过读取exp声明自动检测并显示令牌的过期状态，帮助开发者快速判断令牌是否仍然有效。所有解码完全在浏览器中进行，因此您的敏感令牌永远不会通过网络传输。
如何使用此JWT解码器？
- 将您完整的JWT令牌（以点号分隔的三个Base64编码部分）粘贴到输入框中。
- 点击「解码JWT」按钮解析令牌结构。
- 查看解码后的头部以了解签名算法和令牌类型。
- 检查载荷以查看所有声明，包括主题、发布者和自定义数据。
- 查看过期状态指示器以了解令牌当前是有效还是已过期。
技巧与最佳实践
切勿分享生产环境令牌
虽然此工具在本地处理令牌，但避免在截图或日志中分享生产环境的JWT令牌。令牌的载荷中可能包含敏感的用户信息，未过期的令牌可能被用于未授权的访问。
理解三个部分
JWT由三个以点号分隔的Base64URL编码部分组成：头部（算法和类型）、载荷（声明和数据）和签名（验证哈希）。此工具解码前两部分，这些部分未加密，只是编码。
定期检查过期时间
exp声明包含令牌的过期时间作为Unix时间戳。调试身份验证问题时，始终首先检查令牌是否已过期，因为这是API调用中401未授权错误的最常见原因。
关注自定义声明
除了iss、sub和exp等标准声明外，许多应用还添加自定义声明，如用户角色、权限或租户ID。理解这些自定义声明可以帮助您更有效地调试授权和访问控制问题。
常见使用场景
API调试
当API请求返回身份验证错误时，从Authorization头部解码JWT，检查令牌是否已过期、是否为错误的受众签发，或是否缺少API期望的必需声明。
OAuth流程故障排除
在OAuth 2.0和OpenID Connect实现过程中，检查ID令牌和访问令牌，验证身份提供者是否在令牌载荷中返回正确的范围、声明和受众值。
安全审计
审查JWT令牌以确保载荷中不包含过多或敏感的信息。由于JWT载荷只是Base64编码的（未加密），载荷中的任何数据都可以被拦截令牌的任何人读取。
FAQ
在此工具中粘贴JWT令牌安全吗？
安全。所有解码都在浏览器中本地进行。不会向任何服务器发送数据。
此工具能验证JWT签名吗？
此工具解码并显示JWT内容。签名验证需要密钥，检查时无需提供。
JWS和JWE有什么区别？
JWS（JSON Web Signature）令牌有一个已签名但可读的载荷，这是大多数人所说的JWT。JWE（JSON Web Encryption）令牌有一个加密的载荷，没有解密密钥就无法读取。此工具适用于JWS令牌，这是实践中最常见的类型。
为什么不需要密钥就能读取载荷？
JWT载荷是Base64URL编码的，而非加密的。签名只是确保令牌未被篡改，不会隐藏内容。这是设计使然，因此除非使用JWE加密，否则不要在JWT载荷中存储真正的机密信息。
常见的JWT声明有哪些？
标准声明包括iss（发布者）、sub（主题/用户ID）、aud（受众）、exp（过期时间）、nbf（生效时间）、iat（签发时间）和jti（JWT ID）。应用程序经常添加角色、权限和其他特定于应用的数据作为自定义声明。