JWT解码工具

什么是 JWT（JSON Web Token）？

JSON Web Token（JWT）是一种紧凑、URL 安全的令牌格式，由 RFC 7519 定义。它将一组声明（claims）编码为 JSON 对象，然后对其进行签名——并可选择加密——以便接收方能够验证数据未被篡改。JWT 是 REST API、单点登录系统和微服务授权中无状态认证的事实标准。

JWT 结构：Header · Payload · Signature

每个 JWT 由三个以点分隔的 base64url 编码段组成。Header 和 Payload 是普通 JSON——任何人都可以读取——而 Signature 是一个加密值，只有使用正确的密钥才能验证。

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

为什么要使用 JWT 解码器？

原始 JWT 看起来像随机文本。此工具可立即将 Header 和 Payload 渲染为格式化的 JSON，让您无需编写任何代码即可检查声明、核查过期时间并审查算法选择。

JWT 标准声明参考

RFC 7519 定义了七个已注册的声明名称。这些并非强制要求，但强烈建议使用以确保互操作性。您可以在 Payload 中添加任意自定义声明。

JWT 签名算法

Header 声明 alg 标明签名所用的算法。选择会影响安全性、性能，以及第三方服务能否在不持有私钥的情况下验证令牌。

安全注意事项

解码 JWT 本身始终是安全的。但在未进行正确签名验证的情况下信任 JWT 则不安全。在应用中使用令牌时，请牢记以下规则。

常见使用场景

在代码中解码 JWT

Header 和 Payload 使用 base64url 编码——只需反向解码即可。Base64url 将 + 替换为 -，将 / 替换为 _，并省略 = 填充。只有 Signature 需要密钥。

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

常见问题