什么是 JWT？

JSON Web Token（JWT）是一种紧凑、URL 安全的令牌格式，由头部、载荷和签名三部分组成，每部分都经过 Base64URL 编码并用点号分隔，常用于身份验证和信息交换。

这个工具会验证令牌的签名吗？

不会。本工具只解码头部和载荷以便你阅读其内容，不会用密钥或公钥校验签名。输入框下方和签名旁边的提示也说明了这一点。

exp、iat 和 nbf 这些声明分别代表什么？

iat 表示令牌的签发时间，nbf 表示令牌生效的最早时间，exp 表示令牌的过期时间。三者都是 Unix 时间戳（自 1970 年以来的秒数），本工具会将其转换为可读的日期。

在这里粘贴真实的生产环境令牌安全吗？

从解码完全在浏览器本地进行、令牌不会被发送到任何地方这个角度来说是安全的——但无论粘贴到哪里，都应把任何真实令牌当作机密对待，因为持有它的人都可能在其过期前使用它。

为什么我看不懂签名部分？

签名本来就不是给人阅读的——它是用来验证令牌未被篡改的加密值。此工具会将其显示为原始文本，但不会尝试解码或验证它。

为什么令牌显示“未过期”，API 却仍然拒绝它？

该标签只是把 exp 声明与你设备的时钟作比较。如果签名与服务器的密钥不匹配、aud 或 iss 声明不正确、nbf 仍在未来、令牌已被吊销，或服务器时钟与你的不同，服务器仍会拒绝该令牌。