239软件工具库

JWT在线解析

解析仅对令牌做 Base64URL 解码，不会校验签名；全部在浏览器本地完成，令牌不会上传到任何服务器。

JWT在线解析介绍

JWT（JSON Web Token）是目前最流行的跨域认证方案之一，广泛用于前后端分离、单点登录（SSO）与 RESTful API 的身份凭证。一个 JWT 就是形如 xxxx.yyyy.zzzz 的字符串：头部（Header）声明签名算法与令牌类型，载荷（Payload）存放用户标识、角色、过期时间等数据声明（Claims），签名（Signature）由服务端用密钥对前两段运算生成，用于防止令牌被篡改。

需要特别注意的是，JWT 的头部与载荷只是经过 Base64URL 编码，并没有加密，任何人拿到令牌都能还原出其中的内容。调试接口时把 token 粘贴到本工具，即可一键拆开三段结构，查看载荷中的 sub、iss、aud 等声明，exp、iat、nbf 等 Unix 时间戳会自动换算为本地时间，并标注令牌是否已过期、是否尚未生效，方便快速定位 401 未授权的原因。

本工具的全部解析均在浏览器本地完成，令牌不会发送到任何服务器，断网状态下同样可以使用。工具只做解码展示，不校验签名有效性；如需验证签名，需要持有签发方的密钥。

常见问题

1. JWT 解析后能看到哪些内容？

可以看到头部中的签名算法（alg）、令牌类型（typ）等信息，以及载荷中的全部数据声明，例如用户唯一标识（sub）、签发者（iss）、受众（aud）、签发时间（iat）、过期时间（exp）等。签名部分是加密运算的结果，无法还原出可读内容。

2. JWT 的 payload 是加密的吗？

不是。载荷仅做 Base64URL 编码，相当于“明文存放”，任何拿到令牌的人都能解码查看。因此不要在 JWT 中放置密码、手机号等敏感信息；确需保密的内容应使用 JWE（JSON Web Encryption）加密令牌，或只在载荷中存放不敏感的关联 ID。

3. 怎么判断 JWT 是否过期？

查看载荷中的 exp 字段，它是 Unix 秒级时间戳，超过该时间令牌即失效。本工具会自动将 exp、iat、nbf 换算为你所在时区的本地时间，并用标签标注“有效（剩余多久）”或“已过期（多久前）”，无需手动换算。

4. 解析 JWT 会泄露我的令牌吗？

不会。本工具的解码过程完全在浏览器本地用 JavaScript 完成，令牌不会上传到服务器，也不依赖网络。仍建议只在需要调试时解析令牌，不要在公共场合展示有效期内的 token。