← 云枢 AI 导航 · 工具库
JWT 解码与验签：先看清它到底安全不安全
把 token 贴进来，就能看到 header、payload、签名是否有效、什么时候过期，以及几个最容易被忽视的算法风险。
立即使用 →
English
JWT 的问题很少出在「解不开」，而是出在「解开了但没校验」：alg: none 的 token 任何人都能伪造；把 RSA 公钥当 HMAC 密钥用（算法混淆）能让攻击者自己签发 token；没有 exp 的 token 一旦泄露就永久有效。这些都能从 token 本身看出来。
这个工具会在解出内容的同时，把上面这些风险直接标成 critical / warn，而不是只给你一段 JSON 让你自己判断。
它会检查什么
- Header / Payload 格式化展示
- 签名校验：HS256/384/512、RS256/384/512、PS*、ES256/384/512
- exp / nbf / iat 三个时间声明逐个判定
- alg=none、缺 exp、缺 aud 等风险提示
- 签名段缺失、算法与密钥不匹配等结构性错误
常见问题
- 把 token 贴到网站上安全吗？
- 这个工具不存储、不记录任何 token 或密钥，密钥只在本次请求内存里用一次。但如果你处理的是生产环境的真实令牌，更稳妥的做法是用命令行：
tools jwt <token>，全程不出本机。
- 为什么我的 RS256 token 校验不过？
- 最常见的原因是密钥类型不对：RS*/PS* 需要 PEM 公钥（或证书），不是私钥、也不是共享密钥。如果拿 HMAC 密钥去验 RS256，会提示「算法与密钥不匹配」。
- 支持 EdDSA（Ed25519）吗？
- 暂不支持，会显示「不支持的算法」。目前覆盖 HS*/RS*/PS*/ES* 这几类主流算法。
相关工具