JWT 解码器

读取 JSON Web Token，并指出有风险的设置，例如没有签名算法、没有过期时间或载荷里有机密信息。它不验证签名，因为那需要服务器的密钥。

你输入的内容不会离开这个页面

令牌

工作原理

JSON Web Token 由点分隔的三部分组成：头部、载荷和签名。前两部分只是 Base64url 编码，并没有加密，任何拿到令牌的人都能读取。这个解码器会显示这两部分，并把日期声明（exp、iat、nbf）转成可读时间。

它还会标出常导致漏洞的设置：“none”算法、缺少过期时间、有效期过长、头部中指定密钥，以及载荷中的机密或个人数据。

在这里粘贴令牌安全吗？

令牌只在你的浏览器中解码，绝不会发送出去。不过仍应把线上令牌当作密码对待，最好使用测试令牌。

为什么不验证签名？

验证签名需要服务器的密钥或公钥。没有它，任何工具都无法判断令牌是否真实。

JWT 是加密的吗？

普通的签名 JWT（JWS）不是。只有 JWE 令牌是加密的，而且只能读取其头部。