JWT 解码

这个工具能做什么

JWT（JSON Web Token）由三段 Base64URL 文本组成：头部（算法与类型）、载荷（用户 ID、权限、过期时间等声明）、签名。这个工具把三段拆开，把头部和载荷格式化成可读的 JSON，并把 exp、iat、nbf 这类 Unix 时间戳声明自动转成人类可读的日期时间，方便一眼看出 token 什么时候签发、什么时候过期。

解码完全在浏览器本地进行。不过仍建议只粘贴测试环境的 token——虽然本站不上传，但把生产 token 贴到任何网页里都不是好习惯。

典型使用场景

排查“为什么接口返回 401”时，先解码看看 exp 是不是已经过了；对接第三方平台时确认签发的 token 里到底带了哪些声明；调试权限问题看看角色、scope 字段是否正确。比把 token 打印到日志再肉眼看快得多。

注意事项

最重要的一条：解码不等于验签。JWT 的 Base64URL 部分谁都能解开、谁都能改，这个工具只是“读”它，不验证签名真伪。服务端必须用密钥验签后才能信任载荷内容。因此永远不要在客户端根据解码结果做安全判断。如果 exp 已过期、签名算法是 none 或弱算法，都应当视为无效 token。