什麼是 JWT 解碼器？
JWT 解碼器將 JSON Web 令牌拆分為其三個點分隔的段，Base64URL 解碼標頭和有效負載，並將其呈現為格式化的 JSON。 JWT 沒有加密 - “編碼”只是 base64URL，一個可逆的轉換 - 所以任何持有令牌的人都可以讀取其中的每個聲明。 此工具使檢查即時：從 Set-Cookie 標頭、授權標題（Bearer 前綴自動刪除）或您的授權提供者儀表板貼上一個令牌，並準確查看您的伺服器放入了什麼。
索賠表是調試發生的地方。註冊時間聲明 - exp(到期)、iat(發佈於)和 nbf(不是之前) - 是 Unix 時間戳,無法原始讀取。解碼器將每個轉換到 UTC 日期和相對時間,顯示為"過期(3 小時前)"或"有效(14 分鐘內過期)",並以紅色標記過期令牌。大多數「401 未經授權,但令牌看起來不錯」事件歸結為過期 exp、時鐘傾斜 nbf 或與 API 驗證不符的 aud 索賠 - 所有這些都在兩秒鐘內可見。
這個工具故意不做的一件事：驗證簽名。 驗證需要簽署秘密 (HS256) 或公鑰 (RS256/ES256)，而客戶端工具要求您貼上 HMAC 秘密會教導壞習慣。 解碼是 100% 客戶端 - 令牌永遠不會離開您的瀏覽器，沒有伺服器，並且出現在無請求日誌中，這很重要，因為現場生產 JWT 是承載憑證。 擁有它的人，就是你。
解碼沒有驗證，區別是 JWT 的整個安全模型。 標頭和有效負載是 base64URL，未加密，因此任何持有令牌的人都可以在沒有任何金鑰的情況下閱讀其中的每個聲明。 簽名提供的證明內容沒有被更改，檢查它需要密鑰或公鑰，這是伺服器端操作。 將有效載荷視為公共資訊：永遠不要在其中放任何敏感的東西。
在線解碼 JWT 令牌並檢查結果的快速方法:貼上承載 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ。sig 並點擊解碼。刪除承載前綴,標頭面板顯示{"alg":"HS256","typ":"JWT"},有效負載面板使用自己的複製按鈕作為JWT 有效負載檢視器,顯示子"42",iat 1767225600 和exp 1767229200。索賠表將這些內容轉換為 2026-01-01T00:00:00.000Z 和 2026-01-01T01:00:00.000Z,並將 exp 標記為已過期。此處的簽名片段是佔位符文字符號,該工具仍然對令牌進行解碼,因為它從不檢查簽名。
如何使用 JWT 解碼器？
貼上你的令牌
將 JWT 放入輸入區域。 從瀏覽器 DevTools 網路標籤中的授權標題、cookie、localStorage 或 curl 回應中取得。 領先的「承載者」前綴和周圍的空白會自動剝離，因此您可以貼上完整的標題值而無需清理。
讀取解碼的標題和有效載荷
兩個段都並排呈現格式化的 JSON。 標頭告訴您簽名演算法（ALG：RS256、HS256 等） 和 Key ID (KID) - 當您的 JWKS 旋轉行為不當時，很有用。 有效載荷包含聲明：sub、iss、aud、scopes、角色以及您的授權層添加的任何自訂資料。
檢查索賠表到期
時間聲明（EXP、IAT、NBF）從 UNIX 秒數秒解碼為具有相對時間的可讀日期。 一個過期的 exp 以紅色顯示，它剛剛過去了多少次；一個有效的 exp 以綠色顯示，並隨著時間的推移。 如果將來 NBF 是 - 通常是您的伺服器之間的時鐘偏移 - 令牌將被拒絕，即使它“看起來”很好。
記住：解碼，未驗證
此工具從不檢查簽名 - 它需要金鑰或公鑰，並且屬於您的伺服器，而不是瀏覽器工具。 永遠不要將解碼聲明視為可信賴的輸入：攻擊者可以使用他們想要的任何有效載荷來鑄造令牌。 只有經過驗證的簽名才能證明索賠來自您的發行人未修改。
主要特點
即時標頭 + 有效載荷解碼
純粹的打字腳本中的 Base64URL 解碼 - JSON 段的格式和可讀的立即
檢驗
exp 索賠到期時標記為紅色，有效時為綠色，無論哪種方式都有確切的相對時間
人性化的時間主張
exp、iat 和 nbf 從 raw unix 秒轉換為 iso 日期和「3 小時前」風格的措辭
承載前綴
貼上整個授權標題 - “Bearer” 和 Stray Whatspace 會自動刪除
Frequently Asked Questions
Related Tools
Bcrypt Generator
Generate and verify bcrypt password hashes in the browser with an adjustable cost factor
JWT Generator
Generate and sign JSON Web Tokens with HS256, HS384, or HS512, add standard claims, and copy the token. Runs client-side.
Password Generator
Generate strong, random passwords with custom character sets and strength analysis
Password Strength Checker
Test how strong a password is with an entropy-based strength meter, estimated crack times, and specific suggestions to make it harder to guess - all processed privately in your browser.
Comments
0 comments
No comments yet. Be the first to share your thoughts!