JWT 解碼與驗簽差異指南

解碼到底能給你什麼

解碼本質上只是可讀性步驟。它把 header 和 payload 展開成 JSON，方便你檢查 `alg`、`sub`、`iss`、`aud`、`exp` 以及自訂宣告。這對排查問題很有幫助，但它並不能證明令牌簽章正確，也不能證明它對目前請求仍然有效。

驗簽還必須證明什麼

真正的驗證發生在解碼器之外。認證層必須使用正確的密鑰或公鑰重新計算或驗證簽章，然後拒絕那些和目標 issuer、audience、時間窗口或權限不一致的令牌。這也是為什麼「payload 看起來沒問題」遠遠不夠。

• 把簽章是否可信，和 payload 是否可讀分開看。
• 信任令牌前，優先檢查 `exp`、`nbf`、`iss` 和 `aud`。
• 能用脫敏或短時樣本時，就不要直接處理線上真實令牌。

一套實用的瀏覽器工作流程

先解碼，讀清楚宣告，確認令牌屬於哪個環境；然後把令牌帶回真實認證系統做簽章和權限驗證。如果問題出在 audience、issuer 或時間窗口漂移，解碼器能幫你很快看見，但它不會取代驗證。