JWT 解析

解析 JSON Web Token：粘贴后即可看到 JSON 格式的头部和载荷，过期时间等时间声明会转换为易读的日期。登录或 API 调用失败时，可以用它查看令牌内容以及是否已过期。

使用方法

1. 把以 eyJ 开头的 JWT 粘贴到“令牌”中。开头的“Bearer ”会被忽略。
2. 查看“头部”和“载荷”中的 JSON 以及“签名”部分。
3. 在“声明”表中查看签发时间和过期时间，以及“已过期”或“生效中”等状态。
4. 要确认令牌是否可信，请在“验证签名（可选）”中输入密钥或公钥。

计算方式与说明

• JWT 由用点分隔的三部分组成：header.payload.signature。前两部分是 Base64url 编码的 JSON，所以不需要密钥就能读取。exp、nbf 和 iat 是自 1970 年 1 月 1 日（UTC）起的秒数。
• 验证使用 Web Crypto，支持 HS、RS、PS 和 ES（256/384/512），浏览器支持时也支持 EdDSA。公钥可以是 PEM、证书、JWK 或 JWKS。alg 为“none”的令牌会显示警告。
• 解析和验证都在你的浏览器中进行；令牌和密钥不会被保存或发送。即便如此，也建议使用测试令牌或已过期的令牌，而不是生产系统的令牌。

常见问题

怎么查看 JWT 什么时候过期？

粘贴令牌即可。“声明”表中的“过期时间”（exp）显示日期和时间，状态栏显示剩余时间或“已过期”。

JWT 是加密的吗？

普通的 JWT（JWS）是签名的，而不是加密的，所以任何人都能读取其内容。不要在里面放密码或其他机密信息。由 5 部分组成的令牌是加密的 JWE，没有密钥无法读取。

能解析出来就说明令牌是真的吗？

不是。任何人都能修改内容，只有用正确的密钥验证过签名才可信。在“验证签名（可选）”中输入密钥，即可看到“签名有效”或“签名无效”。