JWT 在线解码与 Token 过期校验工具 (JWT Decoder & Debugger)
专为后端架构师、API 开发者及全栈工程师打造的 JWT 调试利器。本地结构化着色解析 Header 与 Payload、深度校验标准 Claims，智能判定 Token 过期状态，绝不上报服务器。
JWT 标准 Claims 字段速查
| 字段 | 英文全称 | 含义与说明 |
|---|---|---|
| sub | Subject | 该 JWT 所面向的主体（通常为用户唯一 User ID） |
| iss | Issuer | 签发机构标识或 OAuth 认证中心域名 |
| exp | Expiration Time | 过期时间（秒级 Unix 时间戳），超时即拒绝服务 |
| iat | Issued At | 签发时间（秒级 Unix 时间戳） |
| nbf | Not Before | 生效时间，在此时刻之前 Token 不可被接受 |
常见问题解答 (FAQ)
Q: 在线使用 JWT 解码器解析生产环境 Token 安全吗？
A: 使用常规服务端解析工具存在安全合规隐患。DevHub JWT 解码器基于纯前端浏览器本地算法，使用 UTF-8 安全 Base64URL 纯客户端解码，没有任何后台接口接收你的 Token，可放心解析含用户鉴权信息的测试与生产 Token。
Q: JWT 结构中的三部分分别代表什么？
A: JWT 采用以句号 '.' 分隔的三段结构：第一段为 Header（头部，声明签名算法如 HS256/RS256 及令牌类型）；第二段为 Payload（有效载荷，存放身份 Claims 与自定义业务属性）；第三段为 Signature（数字签名，由前两段结合服务端私钥防篡改生成）。
Q: 如何通过 exp 字段判断 JWT 是否过期？
A: exp 是 JWT 标准声明中的 Expiration Time（过期时间戳，以秒为单位）。DevHub 会自动将 exp * 1000 转换为可读的北京时间，并与本地当前系统时间对比：当当前时间大于 exp 时自动预警已过期。
Q: access token 和 refresh token 应该怎么设计有效期?
A: 常见实践:access token 短有效期(15 分钟~2 小时)随请求携带;refresh token 长有效期(7~30 天)只在刷新端点使用且可服务端吊销。这样即使 access token 泄露,攻击窗口也很短,兼顾了 JWT 无状态与服务端可控性。
Q: JWT 为什么很难做到立即注销?
A: JWT 的签名校验不依赖服务端状态,token 在 exp 前天然有效。要支持立即注销必须引入状态:例如在 Redis 维护 jti 黑名单直至过期,或回退为服务端会话——这实际放弃了无状态优势。务实折中是短有效期 + refresh token 轮换吊销。