JWT 解析

工具介绍

拿到一个 JWT 想确认它到底装了什么、什么时候过期，把它粘进来即可：页面即时解码 Header、Payload 与签名三段内容，并把 exp、iat 换算成本地时间，直接标出「已过期」还是「未过期」。

需要说清楚的是，本工具只做解码与过期判断，不验证签名——被篡改或伪造的 Token 同样会显示「未过期」。真正的鉴权必须以服务端的验签结果为准。

使用步骤

1. 1把 JWT（即 xxx.yyy.zzz 的三段字符串）粘进输入框。
2. 2查看解码出的 Header（算法与类型）与 Payload（业务字段）。
3. 3看时间行确认是否过期、何时签发，注意到期时间是按你本地时区换算显示的。

适用场景

• 接口返回 401，先解出 Token 的 exp 确认是过期了还是别的原因。
• 核对 Token 里带了哪些声明（角色、租户、作用域），排查权限问题。
• 确认服务端下发的 Token 用的是哪个签名算法，与预期是否一致。
• 联调时快速看一眼自己构造的 Token 负载对不对，不必等到请求失败。

常见问题

显示「未过期」是不是说明这个 Token 有效？

不是。本工具只检查 exp 时间有没有到，不验证签名。一个被篡改过、或由攻击者用其他密钥签发的 Token，同样会显示「未过期」。鉴权请以服务端验签为准。

能在这里验证签名吗？

不能，本工具只做解码展示。验证签名需要对应的密钥或公钥，属于服务端职责；放到前端验签也挡不住攻击者绕过。

Token 为什么分成三段？

JWT 由 header.payload.signature 三段用点号连接而成，前两段是 Base64URL 编码的 JSON，第三段是签名。本工具把前两段解码成可读 JSON 展示，第三段原样列出。

粘贴的 Token 提示解析失败？

常见原因是内容不是合法 JWT：段数不是三段、Base64URL 字符不合法、或解码出的内容不是合法 JSON。另外注意粘贴时不要带上前后的引号、Bearer 前缀或换行截断。

把 Token 粘到这里安全吗？

解析全部在浏览器本地完成，Token 不会上传。但 JWT 本身常含用户标识、租户、权限等敏感信息，仍建议不要在他人可及的设备或不可信环境中粘贴生产环境的 Token。

基本操作

• 粘贴 JWT Token，自动解析 Header、Payload 和签名
• 查看签发与过期时间，判断 Token 是否过期（不验证签名）

安全提示

• 「未过期」仅表示 exp 时间未到，不代表签名合法
• JWT 可能包含敏感信息，请勿在不可信环境粘贴
• 解析仅在浏览器本地进行，不会上传