简介
解码 JWT Payload，排查鉴权问题。
下列说明侧重开发者如何在本站 API 目录选型后，用该工具完成联调与文档协作；具体功能与版本以官方产品为准。
类型
在线工具
相关链接
此类能力也可在本地 IDE、命令行（如 jq、python -m json.tool）或团队批准的内网工具中完成；选用时请优先可信环境，避免将生产密钥粘贴到未知网页。
能做什么
JWT 解码工具展示 Header/Payload（Base64URL），帮助核对 iss/aud/exp/sub 与自定义 claim，排查鉴权失败。它不解密 JWE，也不验证签名，仅用于可读性调试。
典型工作流
- 从浏览器/日志复制 access token（脱敏环境）
- 查看 exp 是否过期、scope 是否不足
- 对比授权服务器文档与真实 claim
何时用
OAuth/OIDC 集成、网关转发 Token、或前后端争论「谁改坏了 JWT」时。验证签名应在服务端用官方 JWKS 完成。
注意点
生产 Token 含敏感信息，勿在公共在线工具粘贴；理解解码≠信任。拒绝 alg=none 等攻击面应在服务端强制。
与 API 目录配合
许多 API 使用 Bearer 或自定义 Header 鉴权，解码后可核对 scope 是否覆盖目标端点。若与文档 claim 不符，优先检查授权服务器配置与 clock skew，再回到 Postman 重放请求。
团队实践
在支持工单中附脱敏后的 Payload 截图或文本，说明期望 claim 与实际差异。自动化测试可解码测试 Token 断言 role，而不要在用例里写死长期 Secret。移动端调试时，可把解码结果与服务端日志中的 sub 对照，快速确认是否拿错账号 Token。