JWT 解碼器

JWT 定義於 RFC 7519（2015 年 5 月），該規範建議讀作英文單字 "jot"。常見的簽章形式是以句點連接的三段 Base64url 字串：header.payload.signature。標頭（header）會在 alg 中註明簽章演算法，例如 HS256 或 RS256，也常在 kid 中附上金鑰 ID。內容（payload）存放聲明（claims），也就是 JSON 欄位，例如 sub（使用者）、iss（簽發者）、aud（預期受眾），以及 exp、nbf 和 iat，這三個是自 1970 年 1 月 1 日 UTC 起算的秒數時間。解碼器會把這三個時間轉成您的當地時間與 ISO 8601 格式，並告訴您權杖是已過期、尚未生效，還是在有效期間內。

Base64url 只是編碼，不是加密，所以任何拿到權杖的人都能像本頁一樣讀取其內容。請勿在聲明中放入密碼、信用卡號或其他機密資訊。由五段以句點分隔的權杖是 JWE，也就是加密權杖；沒有金鑰就無法讀取內容，解碼器也會如此提示。從 Authorization 標頭複製而來、開頭的 "Bearer " 會自動移除。

簽章用來證明標頭和內容是由持有金鑰的人產生，且之後未被更動。驗證簽章需要該金鑰：HS256 這類 HMAC 演算法要用共用密鑰，RS256、ES256 或 EdDSA 則要用簽發者的公開金鑰。把正式環境的簽章密鑰貼到任何網頁都不是好主意，而沒有金鑰卻假裝能擔保權杖的解碼器只會帶來錯誤的安心感，因此本工具只顯示簽章，不進行驗證。請把您看到的內容視為權杖自己的聲明，而非事實。

驗證應在您的伺服器上進行，使用持續維護的函式庫，並固定預期的演算法。兩個歷史上的錯誤說明了原因：一是接受 alg 為 "none"，讓任何人都能偽造未簽章的權杖；二是演算法混淆，也就是預期 RS256 的伺服器被誘騙，用公開金鑰當作 HMAC 密鑰來檢查 HS256 簽章。解碼器是用來除錯的：查看服務提供者簽發了哪些聲明、找出錯誤的受眾，或發現工作階段失敗是因為 exp 在一分鐘前剛過期。若要查看原始的 Base64url 片段，請使用 Base64 解碼器。