JWT 解析

在线解析 JSON Web Token,提取 Header / Payload / Signature,展示时间字段

工具介绍

什么是 JWT

JSON Web Token(JWT)是一种基于 JSON 的开放标准(RFC 7519),用于在网络应用各方之间安全地传输声明(claims)。一个 JWT 由三部分组成,用英文句点 . 分隔:

Header — 描述令牌类型与签名算法(如 HS256、RS256)
Payload — 携带业务数据(用户 ID、过期时间等声明)
Signature — 对前两部分的数字签名,用于防篡改

JWT 结构示例

原始 JWT

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Header(解码后)

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload(解码后)

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

常见声明字段(Claims)

issIssuer,签发方

subSubject,主题(通常是用户 ID)

audAudience,接收方

expExpiration Time,过期时间(秒)

iatIssued At,签发时间(秒)

nbfNot Before,生效时间(秒)

jtiJWT ID,令牌唯一标识

HS256HMAC-SHA256 对称签名

RS256RSA-SHA256 非对称签名

Base64URL 编码

JWT 使用 Base64URL 编码(非标准 Base64),区别在于:

+替换为 -

/替换为 _

=省略填充符

本工具内部已自动转换,可直接展示原文 JSON。

常见用途

身份认证单点登录 SSOAPI 鉴权信息交换无状态会话移动端鉴权

常见问题

Q:为什么本工具不验证签名?

签名验证需要密钥(对称算法如 HS256)或公钥(非对称算法如 RS256 / ES256),浏览器前端无法安全持有这些凭据。本工具仅做结构解析与展示,真正校验应在服务端完成。

Q:Token 看起来有效,但接口返回 401?

可能原因:① 已超过 exp 过期时间(本工具会显示倒计时);② 尚未到 nbf 生效时间;③ 签名密钥 / 算法不匹配;④ 令牌被加入黑名单。检查本工具展示的时间字段可快速排除前两种情况。

Q:Payload 里的数据是加密的吗?

不是。JWT 默认只签名不加密,Payload 内容任何人都可以 Base64URL 解码查看(本工具做的就是这件事)。如需保密,应使用 JWE(JSON Web Encryption)或在上层用 TLS 加密传输。

Q:把 Token 粘贴到这里安全吗?

所有解析均在浏览器本地完成,Token 不会上传到任何服务器。但仍建议不要在共享设备上解析包含敏感信息的生产环境 Token。