JWT 解码与调试器

实时解构 Header、Payload 与 Signature，诊断 Claims 声明与时间戳状态，支持本地 HMAC 签名比对与自定义 Token 快速生成。

ENCODED · 原始令牌

ALG: {{ headerObj.alg || 'UNKNOWN' }} {{ rawToken.length }} 字符

Header 头部 Payload 载荷 Signature 签名

{{ tokenParts.header }} . {{ tokenParts.payload }} . {{ tokenParts.signature }}

提示：JWT 格式由 Base64URL 编码的 Header、Payload、Signature 三部分以英文句点 . 拼接组成。

VERIFY SIGNATURE · 本地签名校验

Secret 是 Base64 编码

DECODED · 结构与诊断

复制全部 JSON

HEADER ALGORITHM & TOKEN TYPE

复制

PAYLOAD DATA & CLAIMS

复制

CLAIMS · 标准声明智能诊断 {{ expStatusBadgeText }}

exp 过期时间

{{ formatTimestamp(payloadObj.exp) }}
{{ expInfo.text }}

iat 签发时间

nbf 生效时间

CRAFTER · 构建配置

本地离线签发

立即签发并生成 JWT 令牌

GENERATED · 签发结果

复制 Token

生成的完整 JWT 字符串

实际编码后的 Payload 内容

将此 Token 载入至调试器 →

JWT 架构与企业级安全防线 (RFC 7519 / RFC 8725)

JSON Web Token (JWT) 是一种紧凑且自包含的安全传输格式。Token 由以 . 分隔的三个部分组成：Base64URL(Header) . Base64URL(Payload) . Signature。需要明确的是，Payload 默认仅做了 Base64 编码，并未加密，任何截获者均可解码读取明文。

🛠️ 三大核心组件

Header：声明令牌类型（typ: "JWT"）及签名算法（如 HS256、RS256）。
Payload：承载标准 Claims（如 sub 用户ID、exp 过期时间戳）与业务 Claims。
Signature：通过私钥或共享 Secret 对头部和载荷计算的数字签名，确保数据不被篡改。

🛡️ 安全开发清单

严禁存储机密信息：切勿在 Payload 存放用户明文密码、银行卡或内部敏感凭据。
防御 alg: none 攻击：后端鉴权时必须强制校验预期算法，杜绝无签名伪造漏洞。
必须限制有效期：生产 Access Token 建议设为 15~60 分钟短效期，配合 Refresh Token 轮换。