🎫JWT 解码器

什么是 JWT？

JWT（JSON Web Token）是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用间传递声明（claims）。它由三部分组成，用英文句点 . 分隔：

• Header：描述令牌类型和签名算法，例如 {"alg":"HS256","typ":"JWT"}。
• Payload：包含声明（claims），即实际传输的数据，例如用户 ID、过期时间等。
• Signature：对前两部分的签名，用于验证令牌未被篡改。

JWT 格式示例

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

三部分分别是：

• Header → {"alg":"HS256","typ":"JWT"}
• Payload → {"sub":"1234567890"}
• Signature → HMAC-SHA256(base64url(header) + "." + base64url(payload), secret)

支持的签名算法

• HS256：HMAC + SHA-256，对称密钥，最常用。
• HS384：HMAC + SHA-384，更高安全性。
• HS512：HMAC + SHA-512，最高安全性（对称）。

注：本工具仅支持 HMAC 系列（HS256/384/512）的签名验证。RSA（RS256/PS256）等非对称算法需要公钥，不在本工具范围内。

使用场景

• 登录认证：用户登录后服务器返回 JWT，前端存储并在每次请求中携带。
• API 授权：微服务间传递用户身份信息，避免共享 Session。
• 单点登录（SSO）：跨域身份验证。
• 信息交换：安全传输用户信息，签名确保完整性。

安全提示

• JWT 本身不是加密的，Payload 仅仅做了 Base64URL 编码，不要在 Payload 中存放敏感信息（如密码）。
• 密钥必须妥善保管，泄露后任何人都能签发合法令牌。
• 生产环境应始终设置 exp 过期时间。
• HTTP 传输应使用 HTTPS，避免令牌被窃取。

本工具所有解析在浏览器本地完成，Token 不会被上传到服务器。