JWT 解析器

解码和检查 JSON Web 令牌（JWT），具有实时验证功能。在浏览器中安全地查看头部、载荷和签名信息。

定义: JSON Web Token 由三段 Base64URL 编码的部分组成——头部、载荷、签名——以点连接。头部注明签名算法，签名则按 RFC 7519 用该算法对应的密钥材料进行验证。

IETF RFC 7519 最后更新: 2026-09

输入 JWT Token

如何使用 JWT 解析器

粘贴 Token

Paste your JWT token in the input area

自动解码

Token automatically decodes on paste

查看各部分

View header, payload, and signature data

查看状态

验证令牌的有效性和过期时间

理解 JWT 令牌

什么是 JWT?

JSON Web Token（JWT）是一种紧凑、URL 安全的声明表示方式，用于在双方之间传输。它由三部分组成 —— 头部、载荷和签名，以点分隔并经 base64url 编码。

• Header: Contains token type and signing algorithm
• Payload: Contains claims or user data
• Signature: Verifies token wasn't tampered with
• Stateless: No server-side session storage needed

为什么要解析 JWT？

解析 JWT 对于调试认证问题、核对令牌内容、检查过期时间以及理解令牌中传输的数据至关重要。

• Debugging: Inspect token contents during development
• Security: Verify token structure and claims
• Expiration: Check token validity period
• Development: Understand authentication flow

标准 JWT 声明参考

几乎每个 token 载荷中都会出现的、由 RFC 7519 定义的注册声明名称。

声明	全名	含义
iss	签发者	谁创建并签署了该 token
sub	主题	该 token 的主体——通常是用户 ID
aud	受众	该 token 的预期接收方(客户端或 API)
exp	过期时间	必须拒绝该 token 的 Unix timestamp 上限
nbf	生效时间	在该 Unix timestamp 之前 token 无效
iat	签发时间	token 创建时间的 Unix timestamp
jti	JWT ID	唯一标识符,适用于吊销列表

常见 JWT 算法

• HS256(HMAC + SHA-256): 对称式——同一个共享密钥既用于签名也用于验证。简单,但任何持有该密钥的人都能伪造 token。
• RS256(RSA + SHA-256): 非对称——私钥签名，公钥验证。分布式系统的标准选择。
• ES256（ECDSA + SHA-256）： 与 RS256 一样是非对称算法，但签名短得多——是不错的现代默认选择。
• 无: 未签名的 token。任何严格的验证方都必须拒绝它;历史上它曾是重大绕过漏洞的根源。

安全须知

• 切勿粘贴生产环境的 token 粘贴到不明工具中。本解析器完全在你的浏览器中运行(验证方法:离线时仍可使用),但并非所有网站都如此。
• JWT 并未加密。 载荷仅经过 base64url 编码——任何拿到 token 的人都能读取其内容。切勿在声明中存储机密信息。
• 解码不等于验证。 结构看起来有效并不代表签名没问题。验证需要密钥，而密钥绝不会离开你的身份验证服务器。
• 在服务端检查 exp。 拒绝已过期的 token 是验证方的职责,而不是客户端的。

开发者什么时候需要 JWT 解析器

调试 401/403 错误

在怀疑服务器之前，先确认令牌里到底有没有预期的权限范围、角色或有效期。

检查 OAuth / OIDC 令牌

解码 id_token 或 access_token，确认 iss、aud、sub 与应用配置一致。

技术支持与排查

根据截图直接查看用户实际拿到的声明，无需在本地安装任何工具。

学习 JWT 原理

粘贴示例令牌，直观了解头部、载荷和签名如何组合在一起。

即时解码

粘贴时自动解码 JWT，并以颜色区分各部分。

100% 隐私

所有解码均在您的浏览器中完成。令牌绝不会离开您的设备。

完全免费

无需注册，没有限制。随时随地自由解析 JWT 令牌。

JWT 解析器 FAQ

把 JWT 粘贴到这个工具里安全吗?

安全。解码完全在您的浏览器中进行，不发起任何网络请求——断网后重新加载页面即可验证。尽管如此，作为基本安全习惯，请避免在任何在线工具中粘贴生产环境令牌。

解析 JWT 会验证它的签名吗?

不会。解析只是对头部和载荷做 base64url 解码。验证签名需要签名密钥（HMAC 密钥或公钥），而密钥只保存在您的认证服务器上。

为什么任何人都能读到我的 JWT 载荷?

JWT 载荷是编码而非加密。任何拿到 token 的人都可以解码并读取其中的声明——这是设计使然。切勿在 JWT 载荷中存储机密或敏感数据。

怎么知道令牌什么时候过期?

查看 exp 声明——它是一个 Unix 时间戳，超过该时间后令牌必须被拒绝。本解析器会根据 exp 和 nbf 自动高亮显示令牌状态（有效、已过期或尚未生效）。

HS256 和 RS256 有什么区别？

HS256 是对称算法：同一个密钥既用于签名也用于验签，因此能验签的一方同样能伪造令牌。RS256 是非对称算法：私钥签名、公钥验签，在多个服务都需要校验令牌的场景更安全。除非有特殊原因，建议优先使用 RS256 或 ES256。

令牌头部显示 "alg": "none"，有问题吗？

这表示令牌没有签名。它在 JWT 结构上是合法的，但验签端绝不能接受：经典的 JWT 漏洞就是攻击者把 alg 改成 none 来绕过签名校验。如果你的后端接受未签名令牌，应当作安全缺陷处理。

JWT 解析器

头部 (Header)

载荷 (Payload)

签名 (Signature)

无效 Token