JWT 解码工具

比大多数 JWT 工具安全，因为本工具没有服务端。token 由你标签页里的 JavaScript 解码，不会发送到任何地方——打开浏览器的网络面板即可确认。不过有个习惯值得一直保持：生产环境的 JWT 在过期前就是一份有效凭据，把它粘贴进任何网站都该是一个有意识的决定。

因为验证需要密钥，而向你索取密钥恰恰是危险的那一步。使用 HMAC 算法时，验证用的密钥和签发用的是同一个——交出去，对方就能以你的名义签发 token。解码则完全不需要密钥，所以本工具只做能安全完成的那部分，并把不做的那部分讲清楚。

不是，这一点经常让人意外。头部和载荷只是 base64url 编码，不是加密——任何拿到 token 的人都能读出里面的每一项声明。签名保证的是内容未被篡改，而不是内容不可见。永远不要把机密信息放进 JWT 的载荷。

它声明这个 token 没有签名。规范里保留这个取值，是为了完整性由其他手段保证的场景，但它后来成了一个著名漏洞：有些库直接采信头部里的算法字段，于是攻击者把签名删掉、把 alg 改成 none，就能让库接受伪造的 token。正确的实现会固定预期算法，而不是从 token 里读。

按 RFC 7519，它是以秒为单位的 Unix 时间戳。在 JavaScript 里处理它最常见的错误是忘了 Date 接受的是毫秒——new Date(exp) 会得到 1970 年的某一天，new Date(exp * 1000) 才是你想要的。本工具同时显示原始数字与换算后的本地时间，方便对照。

解码只能证明格式正确。服务端拒绝它的原因可能是本工具看不到的：签名不对、issuer 或 audience 不匹配、会话已被吊销，或者两台机器时钟不同步。只有「过期」是仅凭 token 本身就能看出来的，所以这里专门标了出来。