解码 JWT 等于验证它吗？

不。解码只是 Base64URL + JSON 解析。任何人都能伪造含任意声明的令牌。只有用正确密钥做密码学验证才能证明真实性。

过期时间存在哪里？

在载荷的 exp 声明中，以 Unix 秒表示。当当前时间达到或超过 exp 时客户端视为过期，通常留一点时钟偏差余量。

本解码器完全在你的浏览器中运行——令牌不上传任何地方。但仍应将令牌视为凭据：探索时优先用过期或测试令牌。

粘贴 JSON Web Token，读取其头部与声明，并检查过期——同时准确理解解码能证明什么、不能证明什么。

1

JWT 是三段 Base64URL 用点连接：头部、载荷和签名。解码只是逆转该编码——它揭示声明，但不验证声明。以下全部在你的浏览器本地运行；令牌绝不离开你的机器。
2

JWT 解码器 →
粘贴完整令牌（含两个点）。工具显示解码后的头部（算法、类型）与载荷（iss、sub、aud、exp、iat 及任何自定义声明）。格式错误的令牌会报告出错段。
3

在载荷中检查三项：exp 声明（Unix 秒——与当前时间戳比较判断是否过期）、iss 与 aud 声明（是否匹配你要调用的服务？）、以及 alg 头部（绝不信任 alg 为 none 的令牌，且 HS256 与 RS256 的密钥不可互换）。
4

若需知道签名本身是否通过验证，需要签名密钥和可信系统上的验证库——解码器做不到，本站也刻意不假装能做到。

解码 JWT 等于验证它吗？: 不。解码只是 Base64URL + JSON 解析。任何人都能伪造含任意声明的令牌。只有用正确密钥做密码学验证才能证明真实性。
过期时间存在哪里？: 在载荷的 exp 声明中，以 Unix 秒表示。当当前时间达到或超过 exp 时客户端视为过期，通常留一点时钟偏差余量。
在这里粘贴令牌安全吗？: 本解码器完全在你的浏览器中运行——令牌不上传任何地方。但仍应将令牌视为凭据：探索时优先用过期或测试令牌。