JWT 解析与签名验证

关于这个工具

将三段式 JWT 展开为格式化的 Header 与 Payload JSON，或使用你信任的公钥显式验证签名。自行指定 RS256、PS256 或 ES256；本地 WebCrypto 验证会将签名结果与 exp、nbf、iat、签发者和受众检查分开显示。仅解析永远不能证明令牌真实可信。

使用示例

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyLTQyIiwiaWF0IjoxNzAwMDAwMDAwfQ.fskbbfT8Y-3vjXSxYDdc-fa23GdUmhivjVOFM9NWx8w

{
  "sub": "user-42",
  "iat": 1700000000
}

eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoi5L2g5aW9IC8g5pel5pys6KqeIn0.6D1s9ZGSyIcSKLrHkt0c-TQ5z-EXQBbca1LyIGKjSD5nTsgjVxvxt9YDGLSLWJ_hp4GxYVemJchQ7XfXNV6xmQ

{
  "name": "你好 / 日本語"
}

常见错误与检查

• Bearer 前缀、多余的点或缺失片段会导致解析失败；请只输入三段式令牌。
• Header/Payload 中的标准 Base64 字符 +、/、填充 =、无效 UTF-8 或非对象 JSON 可能解析失败；JWT 使用无填充 Base64url。
• JSON 可读、exp 在未来或 alg 标注某个算法，都不能证明令牌可信或具备权限。

限制与说明

• —解析保留三段式 UTF-8 JSON 对象的原有流程，包括显示空签名或被修改的签名；验证模式会执行更严格的输入和密钥检查。不支持五段式加密 JWE、分离载荷或非对象 Header/Payload。
• —验证仅支持 2048–4096 位 RSA 公钥的 RS256、PS256，以及 P-256 EC 公钥的 ES256。PS256 使用 32 字节盐；所选算法必须与 alg 一致。拒绝 HMAC 共享密钥、私钥及 alg none；下方原有 HS256/HS512 示例仅用于解析。
• —仅接收单个公钥 JWK 或 SPKI BEGIN PUBLIC KEY PEM，不支持 JWK 集、证书及其他 PEM 类型。拒绝 jku、x5u、内嵌 jwk、x5c、crit、b64 Header；不获取远程密钥，也不让令牌自行决定信任的密钥。 验证仅允许 alg、typ、cty、kid Header 成员；kid 只是标签，不用于查找密钥。JWK 元数据必须符合所选算法及签名验证用途。重复 JSON 键、无效 Unicode 和非规范 Base64url 会被拒绝，不会静默正规化。
• —声明检查独立于签名。NumericDate 使用 Unix 秒，而非毫秒；缺失或跳过的检查不算通过。签名匹配不能证明不可信密钥的归属、用户身份、访问权限或撤销状态。
• —验证上限：令牌 64 KiB、公钥文本 16 KiB、JSON 深度 16、4096 个节点，一次性工作线程限时 5 秒。本地处理，不上传或存储输入。建议使用虚构令牌；真实 bearer token 及声明可能包含敏感信息。 编码片段另有限制：Header 4096 字符、Payload 60000 字符、签名 1024 字符。预期签发者及受众各限 2048 字符，时钟容差范围为 0–300 秒。NumericDate 必须是安全数值范围内的有限 JSON 数字，字符串和 null 均不通过。缺少时间声明会显示缺失；iat 仅提供信息，不构成新鲜度策略。

常见问题

相关工具