審閱日期 2026-08-28
檢查 JWT，但不要信任未驗證的聲明
解碼 Header 與 Claims 供除錯使用，同時將驗證視為獨立步驟。
實際輸入範例
eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.signature
預期輸出
Header: {"alg":"HS256"}
Claims: {"sub":"1234"}可重現操作方法
- 保留原始資料，另建一份最小且具代表性的測試樣本。
- 轉換前先執行嚴格解析或格式驗證。
- 記錄所有選項，比對筆數與結構，最後在接收系統中測試。
常見錯誤案例
可讀取的 Claims 經常被誤認為已驗證的身分。
縮小失敗案例時必須保留造成問題的結構，才能分辨是輸入損壞或工具不支援。
技術限制
解碼不會驗證簽章、簽發者、受眾、期限或信任關係。
預覽成功不代表格式歧義或下游系統要求已經消失。
安全與隱私說明
Bearer Token 就是憑證；只有後端完成驗證後才能授權。
本機處理可降低傳輸風險，但無法防護已遭入侵的瀏覽器、不安全擴充套件、剪貼簿紀錄或後續誤用。
驗證清單
- 核對欄位、資料列、頁數或位元組數。
- 檢查邊界條件與錯誤輸出。
- 驗收完成前保留原始資料。
- 為自動化流程記錄所有假設。