Elysia Tools
导航
Security
解析 JWT 的 header/payload 并高亮显示，诊断 exp/nbf/iat/iss/aud/sub/jti 等 claim，使用 HS*/RS*/PS*/ES*/EdDSA 密钥验签，并提供篡改 payload 的伪造教学演示
详情
粘贴一个紧凑格式 JWT（JWS），工具会：
安全说明：
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
等待运行
工具使用指南
JWT 解析与签名验证器是一款用于安全调试的在线工具，支持对紧凑格式 JWT 进行 base64url 解码并高亮显示 Header 和 Payload，同时提供 exp、nbf 等标准 Claim 的合法性诊断。它支持使用 HS* 共享密钥或 RS*/PS*/ES*/EdDSA 公钥（PEM/JWK 格式）验证密码学签名，并支持通过伪造 Payload 演示签名篡改防御机制。
背景
正在对接一个使用 HS256 算法加密的第三方 API，需要确认收到的 JWT 令牌是否能用约定的共享密钥成功解密和验签。
问题
无法确定收到的 JWT 签名是否损坏，以及其中的过期时间（exp）是否已失效。
如何使用
在“JWT 令牌”输入框中粘贴收到的 JWT，选择验证模式为“验证签名”，在“共享密钥 (HS*)”中输入约定的密钥，点击提交。
{
"mode": "verify",
"secret": "my-shared-key-123"
}结果
成功解码出 Payload JSON，Claim 诊断显示令牌未过期，且系统提示签名验证通过。
背景
审计系统对接的身份认证服务，该服务使用 RS256 算法签发 JWT，并公开了 PEM 格式的公钥。
问题
需要验证导出的 JWT 令牌是否确实由该身份服务的私钥签名，且未被篡改。
如何使用
粘贴 JWT 令牌，选择“验证签名”模式，在“公钥 PEM / JWK”输入框中粘贴 PEM 格式的公钥内容，点击验证。
{
"mode": "verify",
"publicKey": "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0...\n-----END PUBLIC KEY-----"
}结果
工具成功使用公钥验证了签名，并高亮显示了令牌中的 sub、aud 和 iss 等关键声明。
不会。虽然验签在服务端完成，但所有密钥和令牌仅用于本次请求的即时计算，绝不进行任何持久化存储或日志记录。
支持对称加密算法 HS256、HS384、HS512，以及非对称加密算法 RS*、PS*、ES* 和 EdDSA。
这通常是由于服务器与本地时钟不一致导致的。您可以在工具中调整“允许时钟偏差（秒）”参数来容忍微小的时钟不同步。
该模式允许您修改 Payload 内容并使用已知密钥重新生成签名，用于向开发人员演示如果后端未严格校验 alg 或 issuer，攻击者将如何伪造身份。
工具会识别并解码 alg=none 的令牌，但出于安全规范，系统永远不会将其判定为“有效签名”。
用于依赖可视化和变更审查的 Terraform plan JSON 文件样本，贴近 terraform show -json 输出结构
背景
在内部安全培训中，讲师需要向开发团队演示如果密钥泄露，攻击者是如何篡改 Payload 并伪造合法令牌的。
问题
需要一个直观的工具来修改 Payload 中的角色字段（如将 user 改为 admin）并用泄露的密钥重新生成合法的 JWT。
如何使用
输入原始 JWT，选择“验证签名 + 伪造演示”模式，输入泄露的共享密钥，并在“伪造的 Payload”中填入修改后的 JSON，点击生成。
{
"mode": "forge",
"secret": "weak-secret-key",
"forgePayload": "{\"sub\":\"123456\",\"role\":\"admin\",\"exp\":1893456000}"
}结果
工具输出了解码后的原始数据，并生成了一个包含 admin 权限且签名完全有效的新 JWT 令牌，直观展示了密钥泄露的危害。