JWT 签发与验签

用 HS256/384/512、RS/ES/PS 系列算法签发 JWT，或用密钥与公钥验签并区分「已过期」与「签名不匹配」。密钥与私钥只留在浏览器内存里，不写本地存储、不发请求。不同于只解码不验签的「JWT 解析」。

形态

{
  "sub": "1234567890",
  "name": "示例用户",
  "admin": true
}

算法

密钥有效期（秒）填 0 则不写 exp 声明

签发方（iss）受众（aud）主体（sub）

字符60字节68行5

字符0字节0行0

密钥与私钥只留在这个标签页

签发与验签全部在浏览器内完成：不写 localStorage、不发任何网络请求，关掉页面就没了。生产环境的密钥不要拿到这里试。

签出来的 token 只能用来调试与联调。生产环境务必换成随机的长密钥（HS256 至少 32 字节），别把这里的示例值或短口令带上线 —— 密钥短到能被穷举，签名就形同虚设。

同一个「JWT 解析」工具只解码、不验签 —— 那边能读出 payload 不构成任何可信度。