JWT 在线签名生成工具

填 Header 与 Payload，选算法直接签发，自动补 iat 与 exp。

🎫 JWT 签名生成

签名算法

有效期

Header（JSON）

Payload（JSON）

密钥（HMAC Secret）

—

要点	说明
alg 必须固定校验	服务端验签时必须限定允许的算法。如果不校验 alg 字段，攻击者可以把 RS256 改成 none 或 HS256 绕过验证。
Payload 是明文	JWT 只做签名不做加密，Payload 只是 Base64 编码，任何人都能解开看。不要放密码、身份证号等敏感信息。
exp 一定要设	没有过期时间的令牌一旦泄露就永久有效。建议按业务设短一些，配合刷新令牌机制。
HMAC 密钥要够长	HS256 的密钥建议至少 32 字节随机值。用弱口令当密钥等于把签名强度降到口令强度。

常见问题

JWT 是加密的吗？▼

不是。JWT 只做签名，Payload 部分是 Base64URL 编码，任何人拿到令牌都能解开看到内容。签名只保证内容没被篡改，不保证内容保密。需要保密时应配合 JWE 加密。

HS256 和 RS256 该选哪个？▼

单服务自己签发自己验证，用 HS256 更简单；多方参与、签发方和验证方分离（如认证中心签发、各业务服务验证），用 RS256，验证方只需公钥，不必持有私钥。

为什么服务端必须校验 alg？▼

不校验 alg 是经典漏洞。攻击者可以把 Header 改成 alg:none 并去掉签名，或者把 RS256 改成 HS256 用公钥当 HMAC 密钥伪造签名。验签逻辑必须写死允许的算法列表。

exp 和 iat 用什么单位？▼

都是 Unix 时间戳，单位是秒，不是毫秒。写成毫秒会导致过期时间判断错误，通常表现为令牌要么立即失效要么长期有效。