JWT解码器

JWT 定义于 RFC 7519（2015 年 5 月），该规范建议读作英文单词 "jot"。常见的签名形式由三段 Base64url 字符串以点号连接：header.payload.signature。header（头部）在 alg 中标明签名算法，如 HS256 或 RS256，通常还会在 kid 中给出密钥 ID。payload（载荷）包含声明（claims），即 JSON 字段，如 sub（用户）、iss（签发方）、aud（目标受众），以及 exp、nbf 和 iat，它们都是自 1970 年 1 月 1 日 UTC 起算的秒数时间。解码器会把这三项转换为你的本地时间和 ISO 8601 格式，并告诉你令牌是已过期、尚未生效，还是处于有效期内。

Base64url 只是一种编码，不是加密，因此任何拿到令牌的人都能像本页一样读取其载荷。切勿把密码、银行卡号或其他机密信息放进声明里。由五段点号分隔的部分组成的令牌是 JWE，即加密令牌；没有密钥就无法读取其内容，解码器也会给出提示。从 Authorization 请求头复制来的开头 "Bearer " 会被自动去掉。

签名用于证明头部和载荷由持有密钥的一方生成，且之后未被修改。验证签名需要对应的密钥：HS256 等 HMAC 算法使用共享密钥，RS256、ES256 或 EdDSA 则使用签发方的公钥。把生产环境的签名密钥粘贴到任何网页中都不是好主意，而没有密钥却假装为令牌担保的解码器只会带来虚假的安心，因此本工具只显示签名，不做验证。你看到的内容只是令牌自身的声明，不应当作事实。

验证应在你的服务器上进行，使用维护良好的库，并固定预期的算法。历史上有两个典型错误：一是接受 alg 为 "none" 的令牌，导致任何人都能伪造未签名的令牌；二是算法混淆，即预期 RS256 的服务器被诱导用公钥作为 HMAC 密钥去校验 HS256 签名。解码器适合用于调试：查看服务提供方签发了哪些声明、发现 audience 不对，或者弄清会话失败是因为 exp 刚在一分钟前过期。若要查看原始的 Base64url 片段，请使用 Base64 解码。