JWT 解析器 - LitekitHub

什么是 JWT？

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络应用之间安全地传输信息。它以紧凑的、自包含的 JSON 对象形式传递声明（Claims），广泛用于身份认证和信息交换场景。JWT 使用 Base64url 编码和数字签名（或加密）确保数据完整性和来源可信。

JWT 的结构

一个标准的 JWT 由三部分组成，用点号（.）分隔：

Header.Payload.Signature

Header（头部）

Header 通常包含两部分信息：令牌类型（typ，通常为 JWT）和签名算法（alg，如 HS256、RS256、ES256 等）。还有一些可选字段如 kid（密钥 ID）、cty（内容类型）等。

Payload（载荷）

Payload 包含声明（Claims），即关于实体（通常是用户）和其他数据的声明。声明分为三种类型：

注册声明（Registered Claims）：预定义的非强制性声明，包括 iss（签发者）、sub（主题）、aud（接收方）、exp（过期时间）、nbf（生效时间）、iat（签发时间）、jti（JWT 唯一标识）。
公共声明（Public Claims）：在 IANA JWT Claims Registry 中注册的声明，或使用防冲突命名空间。
私有声明（Private Claims）：由使用方自定义的声明，用于共享特定信息。

Signature（签名）

Signature 用于验证消息在传输过程中未被篡改。计算方式为：使用 Header 中指定的算法，对 Base64url 编码后的 Header 和 Payload 以及一个密钥进行签名。格式为：HMACSHA256(base64UrlEncode(header) + '.' + base64UrlEncode(payload), secret)

JWT 的工作原理

JWT 的典型工作流程如下：

用户登录：客户端向服务器发送登录凭据。
签发 Token：服务器验证凭据后，生成一个包含用户信息的 JWT，使用服务端密钥签名后返回给客户端。
携带 Token：客户端将 JWT 存储在本地（localStorage、sessionStorage 或 Cookie），后续请求在 Authorization: Bearer <token> 头中携带。
验证 Token：服务器每次收到请求时验证 JWT 的签名和有效期，确认合法后处理请求。
Token 过期：客户端可在 Token 过期前刷新，或用户需重新登录获取新 Token。

JWT 常见声明详解

声明	全称	说明
`iss`	Issuer	JWT 的签发者
`sub`	Subject	JWT 所面向的主体（通常是用户 ID）
`aud`	Audience	JWT 的预期接收方
`exp`	Expiration Time	JWT 的过期时间（Unix 时间戳），过期后不可接受
`nbf`	Not Before	JWT 的生效时间，在此之前不可接受
`iat`	Issued At	JWT 的签发时间（Unix 时间戳）
`jti`	JWT ID	JWT 的唯一标识符，用于防止重放攻击
`alg`	Algorithm	签名/加密算法（位于 Header 中）
`typ`	Type	令牌类型（位于 Header 中，通常为 JWT）

常见签名算法

算法	类型	说明
`HS256`	HMAC with SHA-256	对称签名，使用同一个密钥签名和验证
`HS384`	HMAC with SHA-384	HS256 的更安全版本
`HS512`	HMAC with SHA-512	HS256 的最安全版本
`RS256`	RSA with SHA-256	非对称签名，使用私钥签名、公钥验证
`RS384` / `RS512`	RSA variants	RS256 的更安全版本
`ES256`	ECDSA with P-256 and SHA-256	椭圆曲线非对称签名，比 RSA 更短更快
`ES384` / `ES512`	ECDSA variants	ES256 的更安全版本
`PS256`	RSA-PSS with SHA-256	RSA-PSS 填充方案
`none`	无签名	不安全的无签名模式，生产环境切勿使用

常见应用场景

API 认证：RESTful API 中，客户端在每次请求的 Authorization 头中携带 JWT，服务端无需维护 Session 状态。
单点登录（SSO）：用户在 A 系统登录后获取 JWT，可直接访问 B、C 系统，各系统验证同一 JWT 即可。
微服务间通信：服务间调用时携带 JWT，下游服务可独立验证请求来源和权限，无需回访认证中心。
信息交换：在多方之间安全传输结构化的声明信息（如 OAuth 2.0 中的 id_token）。
移动应用：原生 App 无法使用 Session/Cookie，JWT 的轻量级无状态特性非常适合。

使用 JWT 的注意事项

不要在 Payload 中存放敏感信息：Payload 仅经过 Base64url 编码，并非加密，任何人解码即可读取内容。密码、信用卡号等敏感数据绝不应放入 JWT。
设置合理的过期时间：exp 声明至关重要。通常 Access Token 设置为 15 分钟至数小时，Refresh Token 可设置数天。
使用 HTTPS：JWT 在网络上传输时应始终通过 HTTPS，防止 Token 被中间人截获。
验证签名：服务端应始终验证 JWT 签名。客户端解析工具（如本工具）仅用于调试和检查，无法在客户端完成签名验证。
避免使用 'none' 算法：生产环境中必须禁用或拒绝 alg: none 的 JWT，否则攻击者可伪造任意 Token。

为什么选择我们的 JWT 解析工具？

实时自动解析：粘贴 JWT 后即刻解析，无需点击按钮，输入即所见。
字段全称标注：每个 JWT 字段都显示其全称和中英文对照，一目了然。
时间人性化显示：exp、iat、nbf 等时间戳自动转换为可读的日期时间和相对时间（如 "-3h"、"过期"）。
Header & Payload 对照：左右分栏同时展示 Header 和 Payload，字段详情表一目了然。
签名状态可视：清晰显示 Token 是否包含签名，以及签名验证的安全性提示。
一键复制：Header 和 Payload 分别提供独立复制按钮，方便调试。
完全免费离线：所有解析在浏览器本地完成，无需注册、不依赖服务器，数据不会离开您的设备。

🎫 JWT 解析器