JWT 在线解析

本地计算：解析由本站手写纯 JS 实现（lib/jwt.js）完成，只使用浏览器原生 TextDecoder，粘贴的 Token 不会离开本机，也不会写入任何存储。

为什么浏览器无法验签：JWT 的签名必须用密钥才能校验。HMAC（HS256 等）需要服务端的共享密钥，把它交给浏览器等于泄露密钥；RSA/ECDSA（RS256/ES256）虽可仅用公钥验签，但公钥的获取与信任链（JWKS、有效期、kid 轮换）本身应在服务端完成。因此本页只解码、不验证：

结论：任何由前端解析出的 JWT 内容都只能用于展示与调试，绝不能作为授权依据；服务端必须自行校验签名、exp、nbf、iss、aud。另外 JWT 的 payload 只是 Base64URL 编码，任何人可读，不要往里放密码、身份证号等敏感信息。