JWT 适合存放敏感数据吗？

JWT 载荷是 Base64Url 编码的，并非加密——任何人都能读取。除非使用 JWE（JSON Web 加密），否则绝不要在 JWT 中存放敏感数据。

HMAC 和 RSA JWT 算法有什么区别？

HMAC 算法（HS256/384/512）使用共享密钥——签发方和验证方都知道同一个密钥。RSA 算法（RS256/384/512）使用公私钥对——签发方用私钥签名，任何持有公钥的人都可以验证。服务器间通信使用 HMAC，分布式系统中验证方不应能创建令牌时使用 RSA。

JWT 过期后会怎样？

载荷中的 exp 声明指定了过期时间戳。超过该时间后，服务器应拒绝该令牌。本工具会显示解码后的 exp，方便你检查令牌是否仍然有效。注意 JWT 过期是一种声明，并非由令牌本身强制执行——服务器必须进行验证。

JWT

在线编码、解码和验证 JSON Web Token（JWT），支持 HS256、RS256、ES256、PS256 等多种签名算法，方便调试认证流程、检查载荷内容与排查签名错误。免费 JWT 调试器，令牌与密钥全程不离开你的浏览器，无需注册账号，打开即可开始调试，安全又高效。工具永久免费，值得收藏备用。

安全加密/jwt

数据不发送至服务器 — 所有处理均在浏览器中完成

在此粘贴

验证签名

密钥 / 公钥

JWT 调试器是一个免费的在线 JSON Web Token 编码、解码和验证工具。支持 HS256、RS256、ES256 等多种算法。所有处理均在浏览器中完成，不会将令牌发送到任何服务器。

什么是 JWT？

JSON Web Token (JWT) 是一种开放标准（RFC 7519），用于在各方之间以 JSON 对象的形式安全传输信息。JWT 常用于 Web 应用程序的身份验证和授权。在此调试令牌，然后使用 [Base64](/base64) 解码验证载荷，或使用 [哈希生成器](/hashing) 检查密钥完整性。

常见使用场景

API 请求认证——在 Authorization 头中包含 JWT（Bearer 令牌），验证调用者的身份和权限。

开发过程中解码和调试令牌——检查头部和载荷声明（iss、sub、exp、iat），无需编写代码。

使用共享密钥（HMAC）或公钥（RSA/ECDSA）验证令牌签名，在信任声明之前确保完整性。

如何解码 JWT

1
粘贴 JWT
2
检查头部和载荷
3
验证签名（可选）

常见问题

JWT

安全加密/jwt

数据不发送至服务器 — 所有处理均在浏览器中完成

在此粘贴

验证签名

密钥 / 公钥

什么是 JWT？

常见使用场景

API 请求认证——在 Authorization 头中包含 JWT（Bearer 令牌），验证调用者的身份和权限。

开发过程中解码和调试令牌——检查头部和载荷声明（iss、sub、exp、iat），无需编写代码。

使用共享密钥（HMAC）或公钥（RSA/ECDSA）验证令牌签名，在信任声明之前确保完整性。

如何解码 JWT

1
粘贴 JWT
2
检查头部和载荷
3
验证签名（可选）

JWT

验证签名

什么是 JWT？

常见使用场景

如何解码 JWT

常见问题

相关工具

JWT

验证签名

什么是 JWT？

常见使用场景

如何解码 JWT

常见问题

相关工具