什么是JWT解码器？
JWT 解码器将 JSON Web 标记分割成三个点分隔的段，base64url 解码头和有效负载，并将两者都呈现为格式化的 JSON。 JWT 没有加密 - “编码”只是 base64url，一个可逆的转换 - 因此任何持有令牌的人都可以读取其中的所有声明。 此工具可立即进行检查：粘贴来自 Set-Cookie 标头、授权标头（自动剥离承载前缀）或验证提供商的仪表板的令牌，并准确查看您的服务器在其中放置了什么。
reclaims 表格是调试发生的地方 注册时间声明 - exp (过期), iat (在) 和 nbf (不是之前) - 是 Unix 时间戳,读取原始读取是无用的 解码器将每个转换为 UTC 日期和相对时间,显示为"过期(3 小时前)或"有效(14 分钟内过期),并用红色标记过期代币 大多数"401 未经授权,但代币看起来很好"事件归结为过期 exp,时钟偏移 nbf 或与 API 验证的内容不匹配的 aud 声明 - 所有这些都可以在两秒内在此可见。
此工具故意不做的一件事：验证签名。 验证需要签名密钥 (HS256) 或公钥 (RS256/ES256)，客户端工具要求您粘贴 HMAC 机密将教授坏习惯。 解码是 100% 客户端 - 令牌永远不会离开您的浏览器，没有服务器，并且出现在无请求日志中，这很重要，因为实时生产 JWT 是一个承载凭证。 任何拥有它的人，都是你。
解码不是验证，区别是JWT的整个安全模型。 头和有效负载是 base64url，未加密，因此任何持有令牌的人都可以在没有任何密钥的情况下读取其中的所有声明。 签名提供的是内容未被更改的证明，并且检查它需要密钥或公钥，这是一个服务器端操作。 将有效负载视为公共信息：切勿将任何敏感内容放入其中。
在线解码 JWT 令牌并检查结果的快速方法:粘贴 Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ。sig 并单击解码。 Bearer 前缀被删除,标头面板显示{"alg":"HS256","类型":"JWT"},而 Payload 面板作为 JWT 有效负载查看器,具有自己的复制按钮,显示子"42",iat 1767225600 和 exp 1767229200。索赔表将这些变成 2026-01-01T00:00:00.000Z 和 2026-01-01T01:00:00.000Z,并将 exp 标记为过期。此处的签名段是占位符文本 sig,工具仍然对令牌进行解码,因为它从不检查签名。
如何使用JWT解码器？
粘贴您的令牌
将 JWT 放入输入区域。 从浏览器 DevTools 网络选项卡、Cookie、本地存储或 CURL 响应中的授权标头获取它。 自动剥离前缀的“不定载体”前缀和周围空白，因此您可以粘贴完整的标题值而无需清理。
读取解码的头和有效载荷
两个段都并排呈现为格式化的 JSON。 标头告诉你签名算法（ALG：RS256、HS256等） 和密钥 ID (kid) - 当您的 JWKS 轮换行为不端时很有用。 有效载荷包含声明：Sub、ISS、AUD、范围、角色以及您的 Auth 层添加的任何自定义数据。
检查索赔表是否过期
时间声明（exp、iat、nbf）从 Unix 秒解码为具有相对时间的可读日期。 一个过期的经验以红色显示，它的失误时间是有效的；有效的 1 显示为绿色显示，剩余时间。 如果将来NBF - 通常在您的服务器之间的时钟偏差 - 令牌即使“看起来”很好也将被拒绝。
记住：解码，未经验证
此工具从不检查签名 - 它需要密钥或公钥，并且属于您的服务器，而不是浏览器工具。 永远不要将解码的声明视为可信输入：攻击者可以使用他们想要的任何有效负载铸造令牌。 只有经过验证的签名证明索赔来自您的发行人未经修改的发卡。
主要特点
即时头 + 有效载荷解码
纯打字稿中的base64url解码-格式化和可立即读取的JSON段
有效检测
到期时，EXP 声明标记为红色，有效时为绿色，无论哪种方式都有确切的相对时间
人性化时间索赔
exp、IAT和NBF从原始Unix秒转换为ISO日期和“3小时前”风格的表达
承载前缀容忍
粘贴整个授权标头 - “不记名”和杂散的空白自动被剥离
Frequently Asked Questions
Related Tools
Bcrypt Generator
Generate and verify bcrypt password hashes in the browser with an adjustable cost factor
JWT Generator
Generate and sign JSON Web Tokens with HS256, HS384, or HS512, add standard claims, and copy the token. Runs client-side.
Password Generator
Generate strong, random passwords with custom character sets and strength analysis
Password Strength Checker
Test how strong a password is with an entropy-based strength meter, estimated crack times, and specific suggestions to make it harder to guess - all processed privately in your browser.
Comments
0 comments
No comments yet. Be the first to share your thoughts!