JWT 解码
在浏览器本地解码三段式 JWT，查看格式化 Header、Payload、Signature 原文和 exp/nbf/iat 时间，不验签。
输入文本
字符
0 / 16,000
提示：本工具只做解码展示，不验签；Payload 可被伪造，解码结果仅用于调试。
JWT 解码粘贴三段式 JWT，三段以点号分隔。查看 Header 和 Payload JSON；Signature 只显示原文，不验签。按本地和 UTC 时间检查 exp/nbf/iat。复制需要的部分；处理完敏感 token 后清空输入。
快速开始
1
2
3
4
常见使用场景
接口调试
快速查看 Token 内容，对比 claims 是否符合预期
过期排查
检查 exp 与 nbf，判断本地时间下是否已过期或尚未生效
学习 JWT
直观了解 Header/Payload 结构与 Base64URL 编码
多环境对比
比较开发/测试/生产环境下签发的 Token 差异
使用建议
本工具仅做 Base64URL 解码展示，不验证签名/iss/aud 等有效性；Payload 可被伪造。生产环境请在后端验签并校验关键 claims。
避免在公共设备上粘贴包含敏感信息的 Token
时间字段为 Unix 秒级时间戳（秒），工具会转换为本地/UTC 时间；状态判断基于本地时钟，存在偏差时以服务端为准
解码契约
输入必须是 header.payload.signature 形式的三段式 compact JWT。五段式 JWE 和自定义 Token 格式不属于本页能力。
Header 与 Payload 会按 Base64URL UTF-8 解码，然后作为 JSON 解析。如果任一部分不是合法 Base64URL 或 JSON，原始输入会保留，并显示对应错误。
Signature 面板只展示第三段原文。本页不输入 secret、公钥、JWK 或 JWKS，也不通过 Web Crypto 验签。
安全边界
JWT 解码在浏览器本地完成。Token 输入可能作为浏览器草稿保留。若启用已保存工作区或 WebDAV 同步，Token 输入可能随同步保存。Header、Payload、Signature 展示数据、claim 时间卡、解析错误、复制状态和撤销历史都由当前 Token 派生，不会保存为单独结果数据。本工具不会验签、抓取 JWKS 或 URL、上传 Token、创建附件或创建解码文件下载。在共用设备上，检查完成后清空 Token 和站点数据。
若 Token 含敏感信息，建议在私密设备上使用，并在查看后清空输入。
解码只让 claims 可读，不证明 Token 由你的服务签发、会被 API 接受或可以被信任。
alg、kid、iss、aud、sub、scope、roles、jti 都只是普通 JSON 字段。生产环境必须结合后端、issuer 元数据、密钥、audience 规则和撤销策略校验。
时间状态只按 exp 与 nbf 结合本地时钟推断。服务端时钟偏差、宽限期、会话撤销和 refresh token 状态都可能改变真实结果。
本页不支持：签名验证、secret 或公钥输入、JWK/JWKS 查询、OIDC discovery、OAuth introspection、JWE 解密、嵌套 JWT 解析、Token 生成和服务端验证。
限制与兼容性
仅做 Base64URL 解码，不验签也不校验 claims；时间状态仅按本地时钟推断
仅支持标准三段式 JWT，不支持 JWE 或自定义格式
不处理嵌套 JWT（Payload 中再包含 JWT 的情况）
时间状态不是完整有效性校验。Token 未过期，也仍可能被服务端拒绝。
本页仅提供复制操作，不下载、不导出、不保存、不分享解码后的 Token 文件。
隐私与安全
JWT 解码在浏览器本地完成。Token 输入可能作为浏览器草稿保留。若启用已保存工作区或 WebDAV 同步，Token 输入可能随同步保存。Header、Payload、Signature 展示数据、claim 时间卡、解析错误、复制状态和撤销历史都由当前 Token 派生，不会保存为单独结果数据。本工具不会验签、抓取 JWKS 或 URL、上传 Token、创建附件或创建解码文件下载。在共用设备上，检查完成后清空 Token 和站点数据。
若 Token 含敏感信息，建议在私密设备上使用，并在查看后清空输入。
常见问题
JWT 必须包含三段 Base64URL 内容，并用英文句点分隔：header.payload.signature。请去掉多余空格、换行和 Authorization 前缀，也不要只粘贴 payload。
服务端可能有时钟偏差宽限、缓存会话、刷新令牌或自定义过期策略。本工具只按本地时间读取 exp 声明，适合检查内容，不代表服务端最终访问结果。