JWT 生成器
HS256/384/512 本地签发测试 JWT，与站内解码器成对验证。
生成的 JWT（本地签名，密钥不上传）
填好 payload 与密钥后，token 会在这里生成。生成结果可贴进「JWT 解码器」交叉验证。
使用说明
这个工具解决什么问题
联调鉴权时需要一个自定义声明的测试 Token:改改 exp、塞个用户 ID,马上拿去打接口。手写 Base64URL 又拼 HMAC 容易出错。这个工具与站内 JWT 解码器成对:header 与 payload 都是 JSON 编辑器直改,支持 HS256/HS384/HS512 三种 HMAC 算法经 WebCrypto 本地签名,也支持 alg=none 供调试;同样输入生成的签名确定一致,结果可直接贴回解码器验证。密钥不上传不存储,纯浏览器本地运行。
核心能力
三种 HMAC 算法:HS256/HS384/HS512,WebCrypto 本地签发。alg=none 调试:无签名形态一键生成,方便复现异常。JSON 直改:header 与 payload 编辑器即改即签。确定一致:同样输入签名输出不变,便于与服务端比对。成对验证:生成结果可直接贴进站内解码器核对。
使用建议
造测试 Token 时把 exp 设成短时效,验证过期逻辑更直观;需要模拟「签名错误」场景,先正常签一份再手动改 payload 末位即可。边界要清楚:本工具不做 RS/ES 非对称族,那类需求请在服务端处理;无论如何都不要把生产密钥贴进任何网页工具,测试用密钥用完即弃。
常见问题
支持哪些签名算法?
HS256、HS384、HS512 三种 HMAC 家族算法,用浏览器 WebCrypto 本地签名;另支持 alg=none 供调试无签名场景。不做 RS/ES 等非对称族——那需要私钥文件与更重的处理,不在本工具定位内。
生成的令牌可信吗?
三段结构与签名都按标准生成,同样输入每次签名确定一致,可直接贴进站内 JWT 解码器验证。它定位是本地测试令牌,拿来打生产接口前先想清楚权限与合规。
生产密钥可以贴进来吗?
不要。虽然本工具纯本地运行、密钥不上传,但把生产密钥贴进任何网页工具都是坏习惯——剪贴板、浏览器扩展、截屏都可能泄露。测试请用专门生成的测试密钥。
header 和 payload 怎么改?
都是 JSON 编辑器直改,改完即重签。常用操作是加 exp/iat 时间戳、增删自定义声明,改完配合解码器看展开结果。