Posted by 理解 JWT：为什么要会做 TOKEN 解析
作为后端或前端开发者，常常会遇到“JWT 是什么”这个问题。JWT（JSON Web Token）是用来在网络应用间传递声明的一种紧凑且自包含的方式。常见用途包括用户认证、权限传递、微服务间授权等。要排查问题或调试登录流程，掌握 JWT解析、jwt解码 的方法非常重要。
注意：在线解析工具方便，但不要把生产环境中的私钥、敏感字段粘贴到公网工具。解析时可仅查看 header 与 payload，对 signature 做 离线验证。
实战演示：使用 JWT 在线解析（以 nimail 为例）
推荐的在线分析页面：
nimail 的 JWT 格式解析。该页面可以把一段 jwt token 自动拆分为 header、payload、signature，并对 header/payload 做 base64url 解码展示。
示例用途：快速查看 payload 中的 exp/iat/role 等字段，判断 token 是否过期或是否包含某些权限声明。
在线解析时的步骤提示
- 将完整的 jwt token 粘贴到解析框。
- 查看 header，确认 alg、typ（例如 RS256、HS256）。
- 查看 payload，关注 exp（到期时间）和自定义声明。
- 仅在安全环境中验证 signature，或使用离线私钥进行校验。
| 部分 | 示例字段 | 说明 |
|---|---|---|
| Header | {“alg”:”HS256″,”typ”:”JWT”} | 指定签名算法与类型 |
| Payload | {“sub”:”123″,”exp”:1700000000} | 声明信息（用户 id、过期时间等） |
| Signature | base64url(HMACSHA256) | 用于校验 token 未被篡改 |
Python 示例：快速解码（调试用）
下面的例子演示如何用 PyJWT 在不校验签名的情况下解码 token，方便调试 payload。切勿在生产忽略签名校验。
# 安装：pip install PyJWT
import jwt
token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDAwMDAwMDB9.sflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c"
# 不校验签名，仅解析 header 与 payload（仅用于调试）
decoded = jwt.decode(token, options={"verify_signature": False})
print('payload ->', decoded)
# 也可以解码 header
header = jwt.get_unverified_header(token)
print('header ->', header)
安全提示：生产环境请使用 公/私钥 或对称密钥，并 校验签名 与
exp、nbf 等声明。常见问题与排查建议
- token 无法通过校验：确认签名算法（alg）与服务器使用的算法一致。
- 时间相关错误：检查系统时钟同步，注意 exp/iat 的单位（秒）。
- 跨域/跨服务问题：确认 token 是否在传输中被截断或 base64url 被替换字符。
总的来说，掌握 JWT在线解析 与本地调试流程能显著提高排查效率。把 nimail 的解析工具 当作一个快速查看 header/payload 的辅助手段，关键的签名验证和生产敏感数据处理要保持离线、可审计。