JWT 解码与安全分析工具

本 JSON Web Token (JWT) 解码与安全分析工具 严格遵循 RFC 7519 与 RFC 7515 (JWS) 国际标准，提供高可靠的纯前端 JWT 结构解析、有效性语义分析与 Claims 声明审查。所有解析操作 100% 运行在您的本地浏览器内存中，绝不向任何外部网络上传 Bearer 令牌凭据、身份声明或用户敏感数据。

JWT 核心三段式架构与 RFC 7519 规范剖析

一个合法的标准 JSON Web Token 由点号（.）分割的三组 Base64URL 编码串构成：

1. 标头（JOSE Header）：声明凭证类型（typ: "JWT"）与所采用的密码学数字签名算法（alg，如 HS256、RS256、ES256）。
2. 有效载荷（Payload / Claims Set）：包含经认证的实体信息（通常为用户或微服务身份）及业务声明。划分为保留声明（Registered Claims）、公共声明及私有业务声明。
3. 防篡改数字签名（Cryptographic Signature）：认证中心（IdP）使用对称密钥或非对称私钥，对 Base64URL 编码后的 Header 与 Payload 进行哈希签名产生的二进制摘要。签名赋予令牌防伪造、抗篡改与不可抵赖性。

RFC 7519 标准保留 Claims 字典速查

密码学数字签名算法横向对比

开发者后端服务端验签示例代码

1. Node.js & TypeScript (jsonwebtoken)

import jwt from 'jsonwebtoken';

interface UserClaims {
  sub: string;
  email: string;
  role: string;
}

export function verifyUserToken(token: string, secretKey: string): UserClaims {
  // 显式白名单指定 algorithms 防止算法混淆攻击
  return jwt.verify(token, secretKey, {
    algorithms: ['HS256'],
    issuer: 'https://auth.x114.org',
    audience: 'x114-api'
  }) as UserClaims;
}

2. Python 3 (PyJWT)

import jwt

def authenticate_request(bearer_token: str, public_pem: str) -> dict:
    """使用公钥安全验证 RS256 签名并核验过期时间与受众"""
    return jwt.decode(
        bearer_token,
        public_pem,
        algorithms=["RS256"],
        audience="x114-api",
        options={"require": ["exp", "iss", "sub"]}
    )

3. Go (github.com/golang-jwt/jwt/v5)

package auth

import (
	"errors"
	"github.com/golang-jwt/jwt/v5"
)

func ValidateToken(tokenString string, hmacSecret []byte) (*jwt.MapClaims, error) {
	token, err := jwt.Parse(tokenString, func(t *jwt.Token) (interface{}, error) {
		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
			return nil, errors.New("unexpected signing algorithm")
		}
		return hmacSecret, nil
	})
	if err != nil || !token.Valid {
		return nil, errors.New("invalid or expired token")
	}
	claims := token.Claims.(jwt.MapClaims)
	return &claims, nil
}