JWT 解碼器
即時解碼 JSON Web Token（JWT）。完全在你的瀏覽器中執行：權杖絕不會離開你的裝置，因此可安全用於正式環境的密鑰。
如何使用本工具
- 1
將你的 JWT 貼到輸入框中。
- 2
點選「解碼」。標頭和酬載會被解析並顯示出來。
- 3
查看演算法、宣告（claims）、過期時間和簽發者。
什麼是 JWT，它是如何運作的？
JSON Web Token（JWT，在 RFC 7519 中定義）是一種精簡且 URL 安全的方式，用於表示關於使用者的一組宣告（claims），並附帶這些宣告未被竄改的加密證明。JWT 為大多數現代 Web 技術堆疊提供身分驗證支援：當你登入時，伺服器會建立一個包含你的使用者 ID 和權限的 JWT，用一個密鑰對其簽名，然後回傳給你。你的瀏覽器會儲存該權杖（通常存放在 localStorage 或 Cookie 中），並在之後每個請求的 Authorization 標頭中攜帶它。伺服器在每個請求中都會驗證簽名：如果有效，就信任權杖中的宣告；如果被竄改，簽名就會失效，請求隨即被拒絕。JWT 由三部分組成，均採用 Base64URL 編碼並以點分隔：標頭宣告簽名演算法（HS256 表示 HMAC-SHA256，RS256 表示 RSA，ES256 表示 ECDSA，none 表示未簽名權杖——這很危險，你應當拒絕它們）；酬載（payload）包含實際的宣告（標準宣告如「sub」表示主體、「exp」表示過期時間、「iat」表示簽發時間，外加你的應用程式所定義的任意自訂宣告）；簽名則是標頭和酬載由持有密鑰者簽名的證明。本解碼器會揭示前兩部分，它們屬於公開資訊；簽名只能用密鑰來驗證，這正是為什麼每一個 JWT 解碼器都會在不經驗證的情況下顯示宣告。
常見使用場景
透過解碼用戶端傳送的 JWT 來偵錯身分驗證問題：準確查看它包含哪些宣告、由誰簽發以及何時過期。
檢查來自 API 閘道（AWS Cognito、Auth0、Okta）的 JWT，以理解下游服務的宣告結構。
驗證自訂宣告（組織 ID、角色、功能旗標）是否在權杖簽發程式碼中被正確設定。
對比續期前後的權杖，確認過期時間已被延長。
稽核權杖的演算法：確認在正式環境中使用的是 RS256 或 ES256，絕不使用「none」。
將伺服器日誌中的 base64url 酬載轉換為可讀的宣告。
常見問題
用於正式環境的 JWT 是否安全？▼
這個工具會驗證簽名嗎？▼
如果我的 JWT 已經過期了會怎樣？▼
JWT 可以被加密嗎？▼
「alg」：「none」是什麼意思，它危險嗎？▼
為什麼要用 JWT 而不是工作階段 Cookie？▼
JWT 的標準宣告有哪些？▼
相關工具
JSON格式化與驗證工具
線上格式化、驗證和壓縮JSON。完全在你的瀏覽器中執行：你的資料永遠不會離開你的裝置。
XML 格式化工具
格式化並美化 XML 文件。適用於 SOAP、網站地圖、RSS 訂閱源和設定檔。
Base64 編碼與解碼工具
將字串編碼為 Base64，或將 Base64 解碼為文字。尊重你的隱私：全部在你的瀏覽器中執行。
URL 編碼與解碼工具
將文字轉換為 URL 安全的編碼（百分號編碼），或進行反向轉換。適用於查詢字串、重新導向和 OAuth 流程。
HTML實體編碼與解碼工具
將特殊字元轉換為HTML實體（&、<等），或進行反向轉換。適用於將文字安全地嵌入HTML。
CSS壓縮工具
移除CSS中的註解、空白和不必要的字元，以減小檔案體積。