JWT

JWT（JSON Web Token）是紧凑的自包含令牌，用 JSON 对象安全传输声明，常用于无状态认证与信息交换。

用途

在无状态服务间传递认证信息，避免服务端会话存储。

机制

三段式：Header（算法）.Payload（声明）.Signature，均 Base64URL 编码。签名用 HMAC 或 RSA。验证签名确保完整性。声明含 iss（签发者）、exp（过期）、sub（主体）等。不加密，敏感数据勿放 payload。

用例

无状态 API 认证
OAuth 2.0 令牌
SSO 跨域身份传递
微服务间认证

示例

输入

header.payload.signature

输出

Read the payload after verifying the signature

Base64URL plus signature

常见错误

Placing sensitive data in the payload (it is only Base64, not encryption): Keep only non-sensitive claims in the payload

相关词条

OAuth 2.0 是授权框架，使第三方应用在用户授权下访问其资源，无需共享密码，通过令牌实现。

Cookie 是服务器发送、浏览器存储的键值对，随同源请求自动发送，用于会话与状态管理。

HMAC（Hash-based Message Authentication Code）是结合哈希函数与密钥的消息认证码，提供完整性与认证。

Bearer Token 是持有即可使用的令牌类型，放在 Authorization: Bearer <token> 头，谁拥有谁可用，无需额外凭据。

相关工具

解码并检查 JWT 头部、载荷和时间声明及过期状态。免费、隐私优先、100% 纯客户端运行。本地解析不视为服务端验签。支持 HS256/RS256 等算法头部解析、exp/iat/nbf 时间声明展示，并标注 EXPIRED/NOT YET VALID/VALID 状态。

使用 HS256 编码 JWT。免费、隐私优先、100% 纯客户端运行。不用于服务端验签。

相关教程

JWT：结构、验证与导致事故的错误

三段各自包含什么、签名验证实际证明了什么，以及反复出现的失败模式 —— alg 混淆、none、缺失过期检查与不安全的存储。

参考链接