JWT 和 Session 有什么区别？

Session 把状态存在服务端，客户端只持有一个随机 ID；JWT 把声明（如用户 ID、角色、过期时间）编码进 Token 本身，服务端凭密钥即可校验，适合无状态、跨服务的鉴权，但注销需靠短过期时间 + 刷新机制或黑名单。

本地验签安全吗？

HS 系列是对称算法，验签需要和服务端相同的密钥，密钥绝不能暴露给前端或提交到仓库；RS/ES/PS 等非对称算法可用公钥验签，私钥留服务端。本工具纯前端运行，密钥不上传，仅用于你自己的本地调试。

为什么 exp 已经过期还能解析？

解析（Decode）只是把 Base64 还原成 JSON，不做有效性判断；只有验签和过期检查才会提示状态。过期仅代表该 Token 不应再被服务端接受，不代表内容不可读。

JWT 解析

🔑 JWT Parser

📐 工作原理与说明

JWT（JSON Web Token，RFC 7519）由 Header.Payload.Signature 三段点号分隔的 Base64url 字符串组成。Header 与 Payload 是 JSON 经 Base64url 编码；Signature 是对前两段拼接串用指定算法生成的签名，用于防篡改、可校验来源。

Header：声明签名算法 alg（如 HS256 / RS256）与令牌类型 typ（通常为 JWT）。
Payload：存放声明（claims），标准字段含 sub（主题）、exp（过期时间戳）、iat（签发时间）、nbf（生效时间）、iss/aud。
Signature：以 HS256 为例，HMAC-SHA256(base64url(header) + "." + base64url(payload), 密钥) 再 Base64url 编码；RS256 则用私钥做 RSA 签名、公钥验签。
验签：接收方用同一算法重新计算签名并与第三段比对，一致即未被篡改且来源可信。

⚠️ 解析（Decode）只还原 JSON、不做验证；alg=none 漏洞可让攻击者伪造令牌，务必在服务端强制校验算法与过期时间。

JWT String

✍️ 生成 JWT（HS256 / HS384 / HS512）

填写 Payload 与密钥，浏览器本地用 WebCrypto 计算 HMAC 签名并生成完整 Token，可直接用于接口联调与本地测试。

算法有效期

Payload（JSON 格式）

密钥 Secret

💡 JWT Claims

字段	说明
alg	Signing algorithm (HS256/RS256/ES256 etc.)
typ	Token type, typically JWT
iss	Issuer
sub	Subject (usually user ID)
aud	Audience
exp	Expiration time
nbf	Not-before time
iat	Issued At time
jti	JWT ID

📚 深度解析：JWT 解析器

💡 常见使用场景

调试后端返回的鉴权 Token：把前端拿到的 JWT 粘贴进来，秒看 Header / Payload，确认角色、过期时间等声明是否正确。令牌结构与安全实践可参考 JWT 规范 RFC 7519（https://datatracker.ietf.org/doc/html/rfc7519）。
排查登录异常：检查 exp 是否已过期、nbf 是否未到生效时间、iat 是否合理，定位是服务端签发问题还是本地时间偏差。
本地验签与教学演示：用 HS256/384/512 配合密钥在浏览器内验签，理解签名如何保证 Token 不被篡改。

解析一个标准 JWT

把 jwt.io 的经典示例 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c 粘贴进输入框，点击 Decode：Header 显示算法 HS256，Payload 显示 sub=1234567890、name=John Doe、iat=1516239022，并可立即看到签发时间的人类可读格式。

用密钥验签

在签名验证区选择 HS256 并填入密钥（如 your-256-bit-secret），点击验证签名。密钥正确时显示「签名有效」，密钥不符或被篡改时显示「签名无效」并给出期望签名前缀，便于比对。

❓ 常见问题（FAQ）

JWT 和 Session 有什么区别？: Session 把状态存在服务端，客户端只持有一个随机 ID；JWT 把声明（如用户 ID、角色、过期时间）编码进 Token 本身，服务端凭密钥即可校验，适合无状态、跨服务的鉴权，但注销需靠短过期时间 + 刷新机制或黑名单。
本地验签安全吗？: HS 系列是对称算法，验签需要和服务端相同的密钥，密钥绝不能暴露给前端或提交到仓库；RS/ES/PS 等非对称算法可用公钥验签，私钥留服务端。本工具纯前端运行，密钥不上传，仅用于你自己的本地调试。
为什么 exp 已经过期还能解析？: 解析（Decode）只是把 Base64 还原成 JSON，不做有效性判断；只有验签和过期检查才会提示状态。过期仅代表该 Token 不应再被服务端接受，不代表内容不可读。

⚠️ 使用说明与注意事项

本工具纯前端运行，数据不会上传到服务器
建议在主流浏览器（Chrome/Safari/Firefox/Edge）中使用
计算结果仅供参考，请以实际应用场景为准

🔑 JWT Parser

Header

Payload

Signature 签名

🔐 签名验证（浏览器本地验签，密钥不上传）

🕒 标准声明检查（exp / nbf / iat）

✍️ 生成 JWT（HS256 / HS384 / HS512）

💡 JWT Claims

📚 深度解析：JWT 解析器

💡 常见使用场景

❓ 常见问题（FAQ）

📝工具简介

JWT Parser

🔑 JWT Parser

Header

Payload

Signature 签名

🔐 签名验证（浏览器本地验签，密钥不上传）

🕒 标准声明检查（exp / nbf / iat）

✍️ 生成 JWT（HS256 / HS384 / HS512）

💡 JWT Claims

📚 深度解析：JWT 解析器

💡 常见使用场景

❓ 常见问题（FAQ）

🔗 相关工具

📝工具简介