JWT 解码与验签区别指南

解码到底能给你什么

解码本质上只是可读性步骤。它把 header 和 payload 展开成 JSON，方便你检查 `alg`、`sub`、`iss`、`aud`、`exp` 以及自定义声明。这对排查问题很有帮助，但它并不能证明令牌签名正确，也不能证明它对当前请求仍然有效。

验签还必须证明什么

真正的验证发生在解码器之外。认证层必须使用正确的密钥或公钥重新计算或验证签名，然后拒绝那些和目标 issuer、audience、时间窗口或权限不一致的令牌。这也是为什么“payload 看起来没问题”远远不够。

• 把签名是否可信，和 payload 是否可读分开看。
• 信任令牌前，优先检查 `exp`、`nbf`、`iss` 和 `aud`。
• 能用脱敏或短时样本时，就不要直接处理线上真实令牌。

一套实用的浏览器工作流

先解码，读清楚声明，确认令牌属于哪个环境；然后把令牌带回真实认证系统做签名和权限校验。如果问题出在 audience、issuer 或时间窗口漂移，解码器能帮你很快看见，但它不会替代验证。