JWT解码器
即时解码JWT令牌，查看头部、载荷和签名。提供HMAC签名验证、有效期检查和历史记录保存功能。
JWT解码器
输入JWT令牌后将自动解码
什么是JWT解码器？
JWT解码器是一款开发者工具，用于分析JSON Web Token（JWT）的内部结构和数据。JWT是Web应用程序中广泛使用的用户认证和信息交换标准（RFC 7519）。通过本工具，您可以轻松分析令牌的头部、载荷和签名。
主要功能
- 实时解码：输入JWT令牌后，立即以JSON格式显示头部和载荷。
- 签名验证：可验证使用HMAC算法（HS256、HS384、HS512）签名的令牌有效性。
- 过期时间检查：将exp、iat、nbf等时间相关声明转换为易读的日期格式。
- 历史管理：保存最近解码的令牌，方便快速查阅。
- 100%客户端处理：所有解码均在浏览器中完成，确保安全性。
理解JWT结构
JWT由三个部分组成，以点（.）分隔：
- 头部（Header）：指定令牌类型（typ）和签名算法（alg）。例如：{“alg”: “HS256”, “typ”: “JWT”}
- 载荷（Payload）：包含称为声明（claims）的实际数据。包括用户信息、权限、过期时间等。
- 签名（Signature）：使用密钥对编码后的头部和载荷进行签名的结果。用于防止令牌篡改。
主要声明说明
JWT载荷可以包含各种标准声明：
- iss（Issuer）：标识令牌的发行者。
- sub（Subject）：表示令牌的主题（通常是用户ID）。
- aud（Audience）：指定令牌的接收者。
- exp（Expiration Time）：令牌的过期时间。超过此时间令牌将失效。
- nbf（Not Before）：在此时间之前令牌无效。
- iat（Issued At）：令牌的发行时间。
- jti（JWT ID）：令牌的唯一标识符。
使用方法
- 将JWT令牌粘贴到输入框中，或点击示例按钮查看示例。
- 输入令牌后，将自动显示头部、载荷和签名信息。
- 如需验证签名，请在Secret Key输入框中输入密钥。
- 时间相关声明会自动转换为易读的日期格式。
- 最近解码的令牌会保存在历史记录中，方便以后查阅。
安全注意事项
- 注意敏感信息：JWT载荷未加密，仅进行Base64编码。请勿在载荷中包含敏感信息。
- 必须验证签名：在生产环境中，必须验证签名以防止令牌篡改。
- 检查过期时间：始终检查exp声明，避免使用过期令牌。
- 使用HTTPS：传输JWT时务必使用HTTPS，防止令牌被窃取。
常见问题
什么是JWT令牌？
JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在双方之间安全地传输信息。它采用自包含（self-contained）方式，所有必要信息都存储在令牌本身中，无需单独的会话存储即可实现用户认证。JWT广泛应用于Web应用程序的登录系统、API认证和单点登录（SSO）。
JWT与会话认证有什么区别？
会话认证将用户信息存储在服务器上，只向客户端提供会话ID。而JWT将所有信息包含在令牌本身中，无需维护服务器状态（无状态）。这使JWT非常适合分布式系统和微服务架构，便于服务器扩展。
JWT解码安全吗？
本JWT解码器100%在浏览器中运行，不会将任何数据发送到服务器。但是，JWT载荷未加密，只是进行了Base64编码，任何人都可以解码。因此，不应在JWT中包含密码或信用卡号等敏感信息。
HS256和RS256等算法有什么区别？
HS256（HMAC-SHA256）是对称密钥算法，签名和验证使用相同的密钥。RS256（RSA-SHA256）是非对称密钥算法，使用私钥签名、公钥验证。HS256实现简单且速度快，而RS256可以安全地分发公钥，在微服务环境中更具优势。
JWT令牌过期后该怎么办？
JWT过期后需要获取新令牌。通常使用刷新令牌（Refresh Token）来更新访问令牌（Access Token）。访问令牌有较短的过期时间（如15分钟），刷新令牌有较长的过期时间（如7天）。这样可以平衡安全性和用户体验。
JWT应该存储在哪里？
JWT可以存储在localStorage、sessionStorage或Cookie中。localStorage方便但容易受到XSS攻击。HttpOnly Cookie由于JavaScript无法访问而更安全，但需要防范CSRF攻击。对于安全性要求高的应用，建议使用设置了HttpOnly、Secure和SameSite属性的Cookie。
为什么需要验证签名？
签名验证用于确认JWT未被篡改。如果恶意用户修改了载荷，签名将不匹配。服务器使用密钥重新计算签名，并与令牌中的签名进行比较，以验证令牌的完整性。没有这个过程，任何人都可以修改令牌来冒充其他用户。