星点JWT工具完整指南 - 6个在线JWT解析/验证/生成/Base64URL工具导航（2026）

星点 JWT 工具系列：把 JWT 的完整生命周期装进浏览器#

星点 JWT 工具（https://www.xingdian.net/app/jwt/）是一个免费在线 JSON Web Token 工具集。它不是单个”解码器”这么简单，而是围绕 JWT 的真实使用流程构建的一整套工具：

解析 → 生成 → 验证 → 编解码 → 测试 → 拼请求头

无论你是第一次接触 JWT、正在调试鉴权接口，还是每天处理 Token 签发与校验的后端/前端开发者，都能在这里找到对应工具，而且全部在浏览器本地运行，Token 与密钥不会上传服务器。

为什么 JWT 值得一套专门工具#

JWT（JSON Web Token）有三个容易让人踩坑的特点：

结构简单，但细节多：Header、Payload、Signature 三段由 . 连接，前两段是 Base64URL 编码，肉眼没法直接读；
“能解析”和”签名有效”是两回事：把 Token 解开读出内容，不等于它可信——这是最常见的误解；
算法与密钥关系复杂：HMAC 用同一个 Secret，RSA/ECDSA 用公私钥对，格式还分 PKCS#8、SPKI 等。

所以真正靠谱的 JWT 工作方式，不是”凭感觉解码”，而是：拿到 Token 先解析看内容、需要验证时验签名、需要造数据时本地生成、要调用接口时拼好请求头。星点的 6 个工具正是覆盖这条链路。

JWT 基础：三段结构与标准 Claims#

在介绍工具之前，先把 JWT 的构成讲清楚，后面每个工具都用得上。

一个标准 JWT 长这样，三段用 . 连接：

1
Header.Payload.Signature

Header：声明算法与类型，通常形如 {"alg":"HS256","typ":"JWT"}，也可能带 kid（密钥 ID，用于标识用哪把密钥）；
Payload：承载标准 Claims 与自定义字段；
Signature：对前两段用算法与密钥算出的签名结果。

前两段是 Base64URL 编码的 JSON，可以直接解开；Signature 是二进制签名，只能用于验证、不能”解密”。

标准 Claims 速览#

JWT 定义了一组注册声明，虽然都是可选的，但它们在鉴权里几乎是约定俗成的：

Claim	全称	含义
`iss`	Issuer	签发方，谁发的 Token
`sub`	Subject	主体，通常是用户 ID
`aud`	Audience	接收方，Token 是给谁用的
`exp`	Expiration Time	过期时间（Unix 时间戳）
`nbf`	Not Before	生效时间，此前不可用
`iat`	Issued At	签发时间
`jti`	JWT ID	Token 唯一标识，用于防重放

理解这些 Claim，配合工具的解析与时间分析，就能快速判断一个 Token”该不该信、能不能用”。

全部 6 个工具一览#

工具	一句话说明	链接
JWT 在线解析 / 调试器	粘贴即解析 Header/Payload/Claims/时间，判断过期	进入
JWT 生成器	自定义 Header/Payload 与算法，本地签名生成 Token	进入
JWT 签名验证	输入 Token 与 Secret/Public Key，校验签名是否有效	进入
JWT Base64URL 编码解码	文本/JSON ⇄ Base64URL，JWT 三段提取解码	进入
JWT 测试 Token 生成器	少配置、快生成，内置过期/管理员等测试模板	进入
JWT → Authorization Header	JWT 转 Bearer 请求头 / cURL / Fetch / JSON	进入

按场景选工具：遇到问题，对号入座#

场景一：拿到一个 Token，我想看懂它#

想看 Header、Payload、标准 Claims、签发/过期时间 → JWT 在线解析 / 调试器
想确认它是不是合法 JSON、时间是否过期 → 同上，解析器会自动做时间与过期判断

场景二：我要确认一个 Token 是否可信#

想校验签名是否有效 → JWT 签名验证

记住：解析不等于验证。解析器只解码内容，签名是否有效必须用验证工具。

场景三：我要自己签发一个 Token#

需要完整控制 Header/Payload/算法 → JWT 生成器
只想要一个能马上跑通的测试 Token → JWT 测试 Token 生成器

场景四：我要处理 Base64URL 或拼请求头#

想把文本/JSON 和 Base64URL 互转 → JWT Base64URL 编码解码
想拼成 Authorization: Bearer <token> → JWT → Authorization Header

算法三大家族：HMAC / RSA / ECDSA#

JWT 支持三大类签名算法，选择哪一类直接影响”签名和验证各需要什么密钥”：

家族	算法	密钥方式	签名用什么	验证用什么	典型场景
HMAC	HS256 / HS384 / HS512	对称	Secret	同一个 Secret	服务内部、单一服务
RSA	RS256 / RS384 / RS512	非对称	Private Key	Public Key	第三方身份服务（Auth0、Okta）
ECDSA	ES256 / ES384 / ES512	非对称	Private Key	Public Key	需更短签名、更高性能

*HMAC（HS）**：加密解密（严格说是签名/验证）用同一个密钥，简单快，但密钥必须在签发方和验证方之间安全共享；
*RSA（RS）**：私钥签名、公钥验证，私钥不出签发方，适合对外签发 Token 让多方验证；
*ECDSA（ES）**：同样是公私钥对，基于椭圆曲线，签名更短、性能更好，但实现门槛略高。

星点的 JWT 生成器与 JWT 签名验证完整覆盖这 9 种算法，并按算法自动切换 Secret / Private Key / Public Key 的输入。

三个典型工作流#

工作流一：排查”为什么后端说 Token 无效”#

用 JWT 在线解析 / 调试器看 Token 结构是否合法、是否已过期；
确认 Header 里声明的算法（HS/RS/ES）；
用 JWT 签名验证输入对应 Secret/Public Key 校验签名；
若签名通过仍失败，检查 iss / aud / exp 等 Claims 是否符合业务约定。

工作流二：本地造一个测试 Token 联调#

用 JWT 测试 Token 生成器选”管理员”或”过期 Token”模板快速生成；
需要自定义字段时改用 JWT 生成器；
用 JWT → Authorization Header 拼好 cURL/Fetch 直接调接口。

工作流三：理解 JWT 底层编码#

在 JWT Base64URL 编码解码里把 Header/Payload 与 Base64URL 互转；
粘贴完整 JWT 看三段如何被提取、解码。

为什么”本地处理”对 JWT 尤其重要#

JWT 本身就是鉴权凭证。把 Token 贴到会”上传服务器”的在线工具里，等于把访问权限交了出去；如果连 Secret / Private Key 也一起贴，密钥泄露的后果更严重。

星点 JWT 工具的解析、签名、验证全部在浏览器本地执行（签名基于浏览器原生 Web Crypto API），Token 与密钥不产生网络请求、不写入本地存储、页面关闭即释放。处理真实凭证时，这一点是底线而非加分项。

五个最常见的 JWT 误区#

“能解析就是有效”：解析只是解码，签名是否有效必须验证，二者严格区分；
“Signature 可以解密出内容”：签名不是加密，只能验证、不能还原出任何信息；
“Token 里放敏感数据没问题”：JWS 的 Payload 是明文 Base64URL，任何人都能解码，敏感信息应放 JWE 或干脆不放；
“HS 和 RS 密钥可以互换”：HMAC 用对称 Secret，RSA/ECDSA 用公私钥对，密钥类型完全不同；
“过期时间会自动失效”：exp 只是声明，需要服务端主动校验；服务端不检查，Token 就”永不过期”。

理解这些误区，能帮你少踩很多坑，也更能体会这套工具里”解析器、验证器、生成器”各自分工的价值。

常见问题（FAQ）#

这些工具收费吗？需要注册吗？

全部免费、无次数限制、无需注册，打开即用。

我的 Token 和密钥会上传吗？

不会。所有解析、签名、验证都在浏览器本地完成，不产生网络请求、不保存数据。

解析和验证是一回事吗？

不是。解析只解码 Header/Payload 并做格式与时间分析；验证才校验签名是否有效。解析成功不代表签名有效。

支持哪些算法？

HS256/384/512（HMAC）、RS256/384/512（RSA）、ES256/384/512（ECDSA），共 9 种。

生成器和测试 Token 生成器有什么区别？

生成器适合完整自定义 Header/Payload/算法；测试 Token 生成器强调少配置、快速生成，内置过期/管理员等模板。

RSA/ECDSA 的密钥是什么格式？

PEM 文本。签名用 Private Key（PKCS#8，以 `-----BEGIN PRIVATE KEY-----` 开头）；验证用 Public Key（PKCS#8/SPKI）。

JWT 的三段分别是什么编码？

Header 与 Payload 是 Base64URL 编码的 JSON，可解码；Signature 是二进制签名，一般不解码为文本。

手机能用吗？

能，全部工具做了移动端适配，手机、平板、电脑都能用。

有单篇工具教程吗？

有。解析、生成、验证、Base64URL、测试 Token、Authorization Header 都有独立文章，见下方"相关资源"。

总结#

星点 JWT 工具系列把”解析、生成、验证、编解码、测试、拼头”6 个工具集中在一个站点：免费、免安装、本地处理。遇到 JWT 问题，先对照”场景表”找工具，打开即用；关键是分清”解析”与”验证”——前者看内容，后者判可信。

立即体验：访问星点 JWT 工具首页