把文件交给它
选择或拖入 .txt或.jwt 文件；也可以直接把内容粘进来。
JWT 解码器：在线查看 JWT 令牌的头部、载荷与过期时间
粘贴完整的 JWT，或选择保存令牌的 .txt / .jwt 文件，工具会把三段式令牌拆开：头部和载荷按 Base64url 解码后用严格 UTF-8 与严格 JSON 解析，原样显示解码后的 JSON，可复制或下载为 .header.json 和 .payload.json。头部的 alg、typ、cty、kid、jku、x5u 单独列出；载荷中的 iss、sub、aud、exp、nbf、iat、jti 作为标准声明展示，exp、nbf、iat 同时给出原始数字和 UTC 可读时间，并按你设备的当前时钟判断是否已过期、是否尚未生效。全部顶层声明另有一张表，数值按原文显示，大整数不丢精度。签名段只做格式检查并统计字节数，不会被当作文本解码。alg 为 none、缺少 exp、头部引用远程密钥地址、键名重复等情况都会给出醒目提示。
支持格式: .txt, .jwt处理位置: 你的浏览器
或把文件拖到这里
✓ 文件只在当前设备处理文件上限：977 KB
JWT 解码器：在线查看 JWT 令牌的头部、载荷与过期时间怎么用
等它处理完
文件在你的浏览器里读取和解析，不会先传到服务器。
核对结果再用
看一眼识别或转换的结果，再用页面上的复制、下载等操作。
想知道文件是怎么处理的？ 看统一的隐私说明 →
常见问题
如何在线解码 JWT 令牌并查看头部和载荷？
把完整 JWT 粘贴进输入框，或选择存有令牌的 .txt / .jwt 文件，就能看到头部和载荷 JSON。首尾空格和换行会自动去掉；结果分为头部 JSON、载荷 JSON、头部字段、标准声明、全部声明表和签名几块，最上方始终显示签名未验证的提示。
解码 JWT 时令牌会上传到服务器吗？
不会，令牌在你的浏览器里解码，不会被发送到任何服务器。即使头部写了 jku 或 x5u 这类远程地址，工具也只把它列出来并提示风险，不会去请求那个地址。
Windows 或 Mac 上不装软件怎么查看 JWT 内容？
在 Windows、Mac 或 Linux 上用任意现代浏览器打开本页即可，不需要命令行工具或插件。从开发者工具、接口调试工具或日志里复制令牌粘贴进来就行，手机浏览器同样可以粘贴使用。
JWT 解码提示分段数量不对是什么原因？
标准 JWT 必须是用两个点隔开的三段，少一段或多一个点就会报这个错。常见原因是复制时截断了签名段、把两个令牌连在一起。如果恰好是五段，工具会改为提示这是不支持的加密令牌（JWE）。
JWT 载荷 JSON 报错说不是有效 JSON 怎么办？
说明载荷 Base64url 解码后的内容不符合严格 JSON，工具不会把它当文本硬显示。常见原因有单引号、末尾多余逗号、非法转义，或者载荷本来就不是 JSON。若提示的是不是 JSON 对象，则说明载荷是数组或字符串，JWT 声明集必须是对象。
粘贴带 Bearer 前缀的 JWT 为什么报非法 Base64url 字符？
因为 Bearer 和后面的空格不属于 Base64url 字符，必须只粘贴 eyJ 开头的令牌本身。错误提示会给出出错字符的行号和列号，按位置删掉前缀、引号或中间混入的换行即可。
JWT 解码器最大支持多大的令牌、什么编码？
上限是 1,000,000 字节（约 1 MB），文件须为 UTF-8 文本，JSON 最多嵌套 64 层。用记事本另存为 UTF-16 的文件会被判为非 UTF-8；文件开头的 BOM 会自动去掉，但段内解码出的 BOM 不会被静默剥离。
JWT 和 JWE 有什么区别，JWE 加密令牌能解码吗？
不能，这里只解码三段式的签名 JWT（JWS），五段式 JWE 加密令牌会被明确拒绝。JWS 的载荷只是编码、谁都能读；JWE 的内容经过加密，没有相应的解密密钥无法读取。头部声明 b64: false 的未编码载荷同样不支持。
能解码的 JWT 就是真实可信的吗？签名会被验证吗？
不是，本工具从不验证签名，解码成功只说明格式正确，不说明令牌真实。任何人都能伪造一段可解码的 JWT；签名段只显示原文和字节数。判断令牌是否可信必须由持有密钥的服务端完成。
JWT 头部 alg 为 none 有什么风险？
alg 为 none 表示令牌声称没有签名，接受它的系统等于任人伪造身份。工具对 none（不区分大小写）给出严重级别的警告；如果你的服务端会接受这种令牌，应立即在验证逻辑里拒绝它。
JWT 的 exp 时间戳怎么转换成可读时间，过期判断准吗？
exp、iat、nbf 按秒换算为 UTC 时间并保留原始数字，过期与否按你设备当前时钟判断。设备时钟不准，结论就不准，也不计入服务端允许的时钟偏差。没有 exp 时会提示缺少，而不是当作永久有效。
JWT 头部带 jku 或 x5u 地址安全吗？
不一定安全，工具会把 jku、x5u 标为远程密钥引用并提示，但不会访问这些地址。如果服务端按令牌自带的地址去取验证密钥，攻击者就能指向自己的密钥，所以这类字段应只信任白名单。