Posted by 快速看懂：JWT是什么及结构
在分布式认证与微服务场景下，JWT（JSON Web Token）已成为主流的TOKEN载体。一个标准的jwt token 由三部分组成：Header.Payload.Signature，中间用点号分隔。了解这三部分的含义是进行JWT解析和jwt解码的第一步。
提示：JWT本身是可读的（Base64Url编码），并不等同于不可逆加密。jwt解密/ jwt解码多数情况下指的是对Header和Payload的Base64解码，而非破解签名或密钥。
JWT三段示例（便于在线解析）
| 段 | 示例内容 | 说明 |
|---|---|---|
| Header | eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9 | 指定类型和签名算法（例如HMAC SHA256） |
| Payload | eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIn0 | 承载声明（claims），如用户ID、过期时间等 |
| Signature | SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c | 由Header+Payload和密钥经过算法生成，验证数据完整性 |
在线解析案例：如何使用 nimail 在线工具
平时调试我常用的网站是 nimail 的 JWT 在线解析 页面。把jwt token粘贴进去，它会自动帮你做base64解码并展示Header、Payload，同时提示是否包含标准字段（如 exp、iat）。在排查TOKEN解析问题或对接第三方登录时，这类工具能极大节省调试成本。
在 nimail 上的实际步骤
- 打开链接并粘贴完整的jwt token。
- 查看Header和Payload是否按预期包含claims。
- 对比Signature的算法（alg）与后端一致，确认签名验证策略。
开发者实操：本地解析与Python示例
很多工程师误以为jwt解密等同于拿到密钥破解签名。这里给出简单的Python示例，教你如何安全地做JWT解析（解码Header/Payload并校验签名）。
# 依赖: pip install PyJWT
import jwt
token = 'YOUR.JWT.TOKEN.HERE'
secret = 'your-256-bit-secret'
# 只解码不验证签名（debug用）
header = jwt.get_unverified_header(token)
payload = jwt.decode(token, options={"verify_signature": False})
print('Header:', header)
print('Payload:', payload)
# 验证签名并校验 exp
try:
data = jwt.decode(token, secret, algorithms=['HS256'])
print('Verified payload:', data)
except jwt.ExpiredSignatureError:
print('Token 已过期')
except jwt.InvalidTokenError as e:
print('验证失败:', e)
注意：在生产环境中，绝对不要在日志中明文记录完整的jwt token或密钥。如果需要共享Payload信息，先脱敏或只记录必要的claim。
常见问题与排查要点（开发者视角）
- TOKEN解析失败：优先检查alg字段是否与后端签名算法一致。
- jwt解码后字段异常：确认是否用了Base64Url的正确解码方式，并检查padding或线上工具的兼容性。
- 签名验证失败：检查密钥是否一致、是否有多环境切换（测试/生产）导致的密钥不匹配。
快速校验清单
把下面几项一项项排查，能迅速定位大多数TOKEN解析问题：
- Header.alg 与服务器配置一致
- Payload 的 exp/iat 是否在有效期
- 签名密钥是否为最新（是否有版本切换）
关于安全的一点补充
尽管很多在线工具（如上文的 nimail）便捷，但上传生产环境的jwt token 可能带来泄露风险。建议对生产token做脱敏或在内网环境使用线下工具进行jwt解码与签名校验。
如果你在对接微信、企业单点登录或内部微服务时遇到TOKEN解析问题，可以把Header和Payload的结构（非完整token）贴出来，通常就能很快定位问题根源。