JWT 解析

JWT 内容本身是 Base64URL 编码,不是加密 —— 任何人拿到都能解开看到里面装了什么,这正是调试时最需要的能力。本工具把三段内容完整展开,并把 iat、exp、nbf 这些时间声明换算成可读时间、判断当前是否有效,省去手动转换时间戳的步骤。

1. 1

   粘贴 token

   从浏览器开发者工具或日志里复制完整 JWT。带不带 Bearer 前缀都可以,工具会自动识别。

2. 2

   查看三段内容

   Header 里有签名算法与类型,Payload 里是实际携带的业务数据 —— 这两段都是明文可读的。

3. 3

   核对时间声明

   如果用户反馈「刚登录就提示过期」,先看 exp 与相对时间;如果是「token 不能用」,再看 nbf 是不是还没到。

4. 4

   检查算法配置

   确认 alg 是你预期的算法。若看到 none 或意外的算法名,说明服务端配置可能有问题。

Header

通常包含 alg(签名算法,如 HS256、RS256)与 typ(类型,一般为 JWT)。也会放 kid 用于指示用哪个密钥。

Payload

承载实际数据,由一组「声明」构成。标准声明有约定含义,你也可以放任意自定义字段,但要注意这部分是明文,不要放敏感信息。

Signature

用 Header 指定的算法对前两段签名得到的值。它的作用是防篡改,验证需要密钥 —— 因此本工具只展示不验证。

iss(签发者)

标识谁签发了这个 token,通常是服务端的域名或应用名。验证时应核对是否与预期一致。

sub(主体)

标识这个 token 关于谁,通常放用户 ID。注意它和用户 ID 不必相同,取决于签发方约定。

aud(受众)

标识这个 token 是给谁用的。防止 A 服务的 token 被拿到 B 服务去用。

exp(过期时间)

Unix 秒时间戳,超过该时刻 token 失效。注意这是由签发方声明的,不代表服务端一定会检查。

nbf(生效时间)

Unix 秒时间戳,早于该时刻 token 不应被接受。用于避免时钟偏差导致的误判。

iat(签发时间)

Unix 秒时间戳,记录 token 何时生成。可用于判断 token 的新旧,但不等于过期时间。

jti(JWT ID)

token 的唯一标识,常用于实现「一次性 token」或撤销名单。

• 排查登录后立刻提示 token 过期的问题
• 确认服务端返回的 token 里带了哪些用户信息
• 检查 alg 是否为预期算法,是否存在 none 的配置错误
• 核对 exp 时长是否符合产品的登录保持策略
• 从别人的 token 里读出签发者、受众等路由信息
• 学习 JWT 结构时直观查看三段内容
• 确认 token 里没有意外泄漏敏感字段