操作指南本地开发工作流指南
如何在本地解码 JWT
在浏览器中解码 JWT header 和 payload，同时明确验证、claims 和敏感 token 处理边界。
当你需要安全检查 token，并说明哪些内容只是解码、哪些内容已经验证时，可使用此工作流。
先使用样例或脱敏 token。
检查 header 和 payload claims，但不要把结果视为已验证。
只有具备正确密钥和预期 claims 时，再进入验证工作流。
步骤
本地解码能给你什么
本地解码能帮助检查结构、时间类 claims，以及意外 alg 值或缺失 audience 等明显问题。
本地解码不能证明什么
任何能编辑文本的人都能修改 decoded payload。授权仍取决于签名验证和应用策略。
此工作流中的工具
直接打开聚焦工具。这些链接使用与搜索和 sitemap 生成相同的 registry 数据。
信任检查
JWT 页面属于敏感输入工作流；隐私与信任中心解释 token 值为什么不能进入 storage、analytics 或日志。
隐私与信任中心常见问题
没有 secret 可以解码 JWT 吗？
可以。header 和 payload 解码不需要 secret，但签名验证需要。
应该粘贴客户 token 吗？
应避免。请使用测试 token、脱敏 claims，或先用样例数据验证本地边界。