JWT 在线解析
粘贴 Token,直接看 header、payload、签名和过期时间。解析在你的浏览器里完成,Token 不会发送出去。
关键信息
Header
Payload
签名部分
说明
- 本工具只做解析,不校验签名。payload 谁都能改,是否被篡改要靠服务端验签。
- JWT 的内容只是 Base64Url 编码,不是加密,请勿在 payload 里放密码等敏感信息。
- 常见字段:
iss签发者、sub主体、aud受众、iat签发时间、exp过期时间、nbf生效时间。 - 时间字段都是秒级 Unix 时间戳,页面会换算成可读时间并标注是否已过期。
常见问题
- 解析成功是不是就说明 Token 有效?
不是。本工具只做 Base64URL 解码,把内容原样展示出来——不做签名校验。任何人都能伪造一个 payload 看起来完全正常的 Token,但服务端验签时会拒绝。要判断真伪必须用签发方的密钥验签,这一步只能在服务端做。 - 能不能从这个工具拿到签名密钥?
不能,而且不应该。签名是密钥和内容的单向运算结果,无法反推密钥。HMAC 和 RSA 签名在设计上就是不可逆的。任何声称能"从 JWT 反推密钥"的工具都是骗人的。 exp已经过期,为什么接口还能用?
几种可能:服务端没有校验exp(配置疏漏);你本地时钟不准,而服务端按自己的时间判断;或者接口同时接受其他认证方式。反过来,如果exp没过期却报 401,先检查nbf(生效时间)是否还没到。- 为什么我的 Token 解析失败?
最常见的原因是粘贴时带了多余内容:比如把请求头整体的Authorization: Bearer xxx一起粘进来了(本工具能容忍Bearer前缀,但多行内容不行),或者 Token 被换行截断、复制时丢了字符。JWT 严格由三个 Base64URL 段用两个点分隔,任何多余字符都会导致解析失败。 - payload 里的
iat、nbf分别是什么?iat是签发时间(Issued At),nbf是生效时间(Not Before),exp是过期时间(Expiration)。三者都是秒级 Unix 时间戳。合理的设计里iat ≤ nbf ≤ exp,如果顺序颠倒,说明签发方逻辑有问题。