JWT 解析器
解码 JWT 的 Header / Payload / 签名，标准声明中文解读，exp 过期时间轴可视化，支持 HS256/384/512 在线验签。
🔒 本地运行🔑 在线验签
粘贴 JWT 后，这里解码展示 Header、Payload、过期状态，并支持 HMAC 本地验签。整个过程在浏览器完成。
本工具能做什么
解码 JWT 的 Header / Payload / 签名，标准声明中文解读，exp 过期时间轴可视化，支持 HS256/384/512 在线验签。
Base64Url 解码三段结构：Header / Payload / 签名分色展示
标准声明（iss/sub/aud/iat/exp/nbf/jti）逐项中文解读
时间轴可视化：签发 → 生效 → 过期，当前状态（有效/未生效/已过期）即时标注
alg=none 与弱算法安全警告，Typo 声明缺失提示
WebCrypto HMAC 验签：HS256 / HS384 / HS512 输入密钥本地验证
JSON 视图与原文对照，⌨️ Ctrl+Enter 即时解析
适用场景
- 调试登录接口时查看 Token 实际内容
- 检查 exp 过期时间与签发者 iss
- 验证 HS256 签名是否与密钥匹配
- 排查 alg=none 等不安全签发配置
常见问题
解码 JWT 会泄露我的 Token 吗？
本工具解码与验签全部在浏览器内完成，无任何网络请求。但仍建议：生产环境 Token 不贴到任何在线工具，先用测试 Token 验证流程。JWT 本身只是 Base64 编码，不是加密，任何人拿到都能读出 Payload。
为什么 JWT 里能看到我的用户信息？
JWT 的三段里只有签名是防篡改的，Header 和 Payload 都是明文 Base64Url。所以绝不要把密码、手机号、身份证号放进 Payload，敏感引用用服务端 Session 或引用 ID 替代。
本工具能验证 RS256 签名吗？
当前支持 HS256/384/512 对称密钥验签。RS256 等非对称算法需要公钥 JWK，可在本地用 openssl 验证：openssl dgst -sha256 -verify pubkey.pem -signature sig.bin data.bin。
exp 过期了 Token 就失效了吗？
过期只是声明，服务端仍会校验。需要配合服务端的撤销名单（黑名单/Redis 版本号）才能实现「立即失效」，否则已签发的 Token 在 exp 前始终可用——这也是 JWT 注销难题的根源。