JWT 解码
在线解码 JWT:分开查看 header 与 payload,exp/iat 显示为易读时间并标注是否过期。仅解码——不验证、不上传。
该工具完全在你的浏览器中运行,数据不会离开你的设备,不会上传到任何服务器。
使用方法
- 1把 JWT(三段以点分隔)粘贴到输入框。
- 2阅读美化后的 header 和 payload,exp/iat 直接显示为真实日期。
- 3据此修正令牌或服务端验证逻辑;需要时可复制 payload。
JWT 解码
粘贴 JSON Web Token,立即分开看到三个部分:header(算法和类型)、payload(实际声明)和签名。两段 JSON 都做了美化排版,iat、nbf、exp 等时间戳会换算成本地语言的直观日期,exp 还会标注已过期或仍然有效。
全部通过 Base64URL 在本地解码——令牌不会被发送到任何地方,也不会被验证。请记住:解码只展示令牌说了什么,不决定它被允许做什么。签名验证永远需要在可信系统上用密钥或公钥完成。
常见问题
解码 JWT 等于验证 JWT 吗?
不等于。解码只是 Base64URL 加 JSON 解析,任何人都能做——攻击者也不例外。看起来合法的解码结果不能证明任何事。验证必须用密钥(HMAC)或公钥(RSA/EC)核对签名,而密钥只在签发方手里。
能恢复或修改令牌里的声明吗?
声明可以读,但无法在不破坏签名的情况下伪造修改后的新令牌——header 或 payload 的任何改动都会让服务端签名校验失败。
在这里粘贴真实令牌安全吗?
令牌完全在你的浏览器里解码,不会离开设备——没有任何上传。不过令牌本质是凭据,非必要不要把生产环境令牌贴到任何地方。
相关工具
Base64 解码
把 Base64 解码回可读文本,UTF-8 处理完整——data URI、API 负载、编码后的配置值即时还原。私密免费,本地完成。
全部工具 →
哈希生成器
在浏览器里计算文本或文件的 SHA-1、SHA-256、SHA-384、SHA-512、MD5 哈希。快速完整性校验,文件不上传。
全部工具 →
SHA-256 生成器
用浏览器原生 WebCrypto 在线计算文本或文件的 SHA-256 哈希——完整性校验与指纹的标准选择,100% 本地处理。
全部工具 →
JSON 格式化
在线美化凌乱的 JSON——支持 2 空格、4 空格或 Tab 缩进,即时校验并精确报错,全程在浏览器本地完成。
全部工具 →
嵌入这个工具
一行代码把工具放到你的网站——它在访客的浏览器里运行。
<iframe src="https://zoyku.com/zh/tools/jwt-decoder?embed=1" width="100%" height="640" style="border:0;border-radius:16px" title="Zoyku — jwt-decoder" loading="lazy"></iframe>