JWT 解码器

在浏览器中解码任何 JSON Web Token

这款 JWT 解码器可将不透明的 eyJ… 字符串即时转换为可读的 JSON。粘贴一个 JSON Web Token，它将在点号处将其分割，对头部和载荷进行 Base64URL 解码，并将两者并排格式化展示，同时单独显示原始签名。这是调试身份验证流程、检查 API 响应中的令牌，或确认您的后端究竟签发哪些声明的最快方法。

令牌的每个部分都有颜色编码 — 头部、载荷和签名 — 使 header.payload.signature 的三个部分一眼即可辨别。无需账户、无需服务器上传、无每日解码限制。

一览声明并检查过期时间

解码器会在清晰的表格中突出显示 RFC 7519 中定义的标准注册声明 — iss、sub、aud、exp、nbf、iat 和 jti — 并为每个声明提供通俗易懂的含义说明。三个时间声明是 Unix 纪元秒数，容易被误读，因此该工具会将其转换为您的本地日期和时间，并添加类似"5 分钟前签发"或"59 分钟后过期"的相对提示。

最重要的是，它回答了您通常打开 JWT 调试器要问的问题：这个令牌还有效吗？系统会将 exp 声明与当前时间比较，自动将令牌标记为有效或已过期，同时也尊重 nbf，让您立即看出过期令牌是否是请求被拒绝的原因。

验证签名 — HS256、RS256 和 ES256

解码显示令牌声称的内容；验证则证明您可以信任它。该工具还是一款 JWT 签名验证器：它从头部读取算法，并使用浏览器的 Web Crypto API 在本地验证签名。对于 HS256、HS384 和 HS512，您需要提供共享的 HMAC 密钥；对于 RS256、PS256 和 ES256（及其 384/512 变体），您需要粘贴 PEM 格式的签发者公钥。

由于计算在您的设备上运行，您无需将令牌、密钥或公钥发送至任何服务器，即可确认令牌的真实性 — 没有人篡改过载荷。绿色对钩表示签名匹配；红色叉号表示令牌已被修改或您使用了错误的密钥。

同样可以构建和编码 JWT

需要反向操作？内置的 JWT 编码器让您从头创建令牌。以 JSON 形式编辑头部和载荷，选择 HMAC 算法，输入密钥，它会生成一个正确签名的 header.payload.signature 令牌，可直接复制到请求或测试中。便捷的快捷按钮可添加最新的 iat 和 exp 声明，使您的测试令牌具有逼真的时间戳。

这使 UtiloKit 成为集 JWT 解码器和编码器于一体的工具 — 检查来自 API 的令牌并创建新令牌发送，所有操作在同一页面完成，无需服务器参与，无需账户。

与 jwt.io、token.dev 和 jwtdecode.com 的比较

jwt.io 是网络上最知名的 JWT 工具 — 由 Auth0 构建，在文档中被广泛引用，受到数百万开发者的信赖。其主要局限在于隐私：jwt.io 在某些配置下会将您的令牌发送到 Auth0 的服务器。

token.dev 和 jwtdecode.com 涵盖了基本解码功能，但不支持使用 PEM 密钥进行 RS256/ES256 签名验证 — 而这正是 Auth0、Google、Microsoft Azure AD、Okta 以及大多数企业 OIDC 提供商使用的算法。

UtiloKit 解码器在浏览器中处理所有这些：解码、过期检查，以及对 HS/RS/PS/ES 算法族的完整签名验证 — 免费、无需账户、无每日限制，且任何内容都不会离开您的设备。

JWT 安全性：令牌能保护什么，不能保护什么

JWT 是为完整性而签名的，而非为保密性而加密的。持有令牌的任何人都可以读取载荷中的每个声明 — Base64URL 编码是微不足道可逆的，正如本解码器所演示的。因此，载荷应只包含非敏感标识符：用户 ID、角色或电子邮件。切勿将密码、支付信息或 API 密钥放入 JWT 载荷。

签名可防止篡改：如果攻击者修改了载荷中的哪怕一个字符，签名将不再匹配，任何使用正确密钥进行验证的服务器都会拒绝该令牌。经典的 alg: none 攻击通过声称不使用任何算法来绕过此保护 — 这是一个众所周知的漏洞（CVE-2015-9235），任何生产环境的 JWT 库都应予以阻止。

使用 exp 保持短令牌生命周期，通过 HTTPS 传输，存储在内存或 httpOnly Cookie（而非 localStorage）中，并在每次请求时验证签名。在部署到生产环境之前，使用此免费工具解码和检查您的令牌，确认这些属性设置正确。