JWT 和 Session 有什麼區別？

Session 把狀態存在服務端，客戶端只持有一個隨機 ID；JWT 把宣告（如使用者 ID、角色、過期時間）編碼進 Token 本身，服務端憑金鑰即可校驗，適合無狀態、跨服務的鑑權，但登出需靠短過期時間 + 重新整理機制或黑名單。

本地驗籤安全嗎？

HS 系列是對稱演算法，驗籤需要和服務端相同的金鑰，金鑰絕不能暴露給前端或提交到倉庫；RS/ES/PS 等非對稱演算法可用公鑰驗籤，私鑰留服務端。本工具純前端執行，金鑰不上傳，僅用於你自己的本地除錯。

為什麼 exp 已經過期還能解析？

解析（Decode）只是把 Base64 還原成 JSON，不做有效性判斷；只有驗籤和過期檢查才會提示狀態。過期僅代表該 Token 不應再被服務端接受，不代表內容不可讀。

JWT 解析

🔑 JWT Parser

📐 工作原理與說明

JWT（JSON Web Token，RFC 7519）由 Header.Payload.Signature 三段點號分隔的 Base64url 字串組成。Header 與 Payload 是 JSON 經 Base64url 編碼；Signature 是對前兩段拼接串用指定演算法生成的簽名，用於防篡改、可校驗來源。

Header：宣告簽名演算法 alg（如 HS256 / RS256）與令牌型別 typ（通常為 JWT）。
Payload：存放宣告（claims），標準欄位含 sub（主題）、exp（過期時間戳）、iat（簽發時間）、nbf（生效時間）、iss/aud。
Signature：以 HS256 為例，HMAC-SHA256(base64url(header) + "." + base64url(payload), 密钥) 再 Base64url 編碼；RS256 則用私鑰做 RSA 簽名、公鑰驗籤。
驗籤：接收方用同一演算法重新計算簽名並與第三段比對，一致即未被篡改且來源可信。

⚠️ 解析（Decode）只還原 JSON、不做驗證；alg=none 漏洞可讓攻擊者偽造令牌，務必在服務端強制校驗演算法與過期時間。

JWT String

✍️ 生成 JWT（HS256 / HS384 / HS512）

填寫 Payload 與金鑰，瀏覽器本地用 WebCrypto 計算 HMAC 簽名並生成完整 Token，可直接用於介面聯調與本地測試。

演算法有效期

Payload（JSON 格式）

金鑰 Secret

💡 JWT Claims

欄位	說明
alg	Signing algorithm (HS256/RS256/ES256 etc.)
typ	Token type, typically JWT
iss	Issuer
sub	Subject (usually user ID)
aud	Audience
exp	Expiration time
nbf	Not-before time
iat	Issued At time
jti	JWT ID

📚 深度解析：JWT 解析器

💡 常見使用場景

除錯後端返回的鑑權 Token：把前端拿到的 JWT 貼上進來，秒看 Header / Payload，確認角色、過期時間等宣告是否正確。令牌結構與安全實踐可參考 JWT 規範 RFC 7519（https://datatracker.ietf.org/doc/html/rfc7519）。
排查登入異常：檢查 exp 是否已過期、nbf 是否未到生效時間、iat 是否合理，定位是服務端簽發問題還是本地時間偏差。
本地驗籤與教學演示：用 HS256/384/512 配合金鑰在瀏覽器內驗籤，理解簽名如何保證 Token 不被篡改。

解析一個標準 JWT

把 jwt.io 的經典示例 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c 貼上進輸入框，點選 Decode：Header 顯示演算法 HS256，Payload 顯示 sub=1234567890、name=John Doe、iat=1516239022，並可立即看到簽發時間的人類可讀格式。

用金鑰驗籤

在簽名驗證區選擇 HS256 並填入金鑰（如 your-256-bit-secret），點選驗證簽名。金鑰正確時顯示「簽名有效」，金鑰不符或被篡改時顯示「簽名無效」並給出期望簽名字首，便於比對。

❓ 常見問題（FAQ）

JWT 和 Session 有什麼區別？: Session 把狀態存在服務端，客戶端只持有一個隨機 ID；JWT 把宣告（如使用者 ID、角色、過期時間）編碼進 Token 本身，服務端憑金鑰即可校驗，適合無狀態、跨服務的鑑權，但登出需靠短過期時間 + 重新整理機制或黑名單。
本地驗籤安全嗎？: HS 系列是對稱演算法，驗籤需要和服務端相同的金鑰，金鑰絕不能暴露給前端或提交到倉庫；RS/ES/PS 等非對稱演算法可用公鑰驗籤，私鑰留服務端。本工具純前端執行，金鑰不上傳，僅用於你自己的本地除錯。
為什麼 exp 已經過期還能解析？: 解析（Decode）只是把 Base64 還原成 JSON，不做有效性判斷；只有驗籤和過期檢查才會提示狀態。過期僅代表該 Token 不應再被服務端接受，不代表內容不可讀。

⚠️ 使用說明與注意事項

本工具純前端執行，資料不會上傳到伺服器
建議在主流瀏覽器（Chrome/Safari/Firefox/Edge）中使用
計算結果僅供參考，請以實際應用場景為準

🔑 JWT Parser

Header

Payload

Signature 簽名

🔐 簽名驗證（瀏覽器本地驗籤，金鑰不上傳）

🕒 標準宣告檢查（exp / nbf / iat）

✍️ 生成 JWT（HS256 / HS384 / HS512）

💡 JWT Claims

📚 深度解析：JWT 解析器

💡 常見使用場景

❓ 常見問題（FAQ）

📝工具簡介

JWT Parser

🔑 JWT Parser

Header

Payload

Signature 簽名

🔐 簽名驗證（瀏覽器本地驗籤，金鑰不上傳）

🕒 標準宣告檢查（exp / nbf / iat）

✍️ 生成 JWT（HS256 / HS384 / HS512）

💡 JWT Claims

📚 深度解析：JWT 解析器

💡 常見使用場景

❓ 常見問題（FAQ）

🔗 相關工具

📝工具簡介