JWT 是加密的吗？

不是。Payload 只是 Base64 编码，任何人都能解码。不要在 Payload 存敏感信息。

怎么验证签名？

输入正确的密钥，工具用 Web Crypto API 计算签名并对比。HS256 密钥至少 32 字节。

粘 token，瞬间看 Header / Payload / Signature。自动识别 Bearer 前缀，过期时间一目了然，可输入密钥验证签名。纯本地运算，token 永不离开浏览器，企业内网安全。

📥 输入 JWT

🧭 已探索 - / 1970 个工具 🎲 随机试一个

结构：三段以 . 分隔的 Base64URL 字符串 = Header.Payload.Signature
标准 Claims：iss(签发方)、sub(主体)、aud(受众)、exp(过期)、nbf(生效)、iat(签发时间)、jti(唯一ID)
常用算法：HS256(对称)、RS256(RSA非对称)、ES256(ECDSA非对称)
⚠️ 安全注意：
- Payload 是 Base64 编码不是加密，不要存敏感信息
- 必须验证签名，不能光看内容
- 必须设置 exp，长期 token 等于安全漏洞
- 密钥要足够强（HS256 至少 256 位 = 32 字节）