JWT Token 生成器 - 在线 HS256/HS384/HS512

1. 怎么用

1. 选择算法（HS256 / HS384 / HS512），或点选 Access / Refresh / 服务间模板预填 payload。
2. 用 exp 快捷按钮（含「已过期」）或「nbf = 现在」写入时间声明；需要时再改 JSON。
3. 填入测试密钥 → 生成 → 复制到 Authorization: Bearer；或点链接用 JWT 解码器核对。

2. 典型场景

• 联调鉴权：给测试环境签一个带指定 sub/role 的令牌，验证权限分支。
• 过期与时间边界：一键签已过期 token，确认服务端 401；用 nbf 测「尚未生效」。
• 大整数 claims：雪花 ID 等超过 JS 安全整数的字段按原文保留，再用解码器对照。

3. 一个必须强调的边界

浏览器端签发只覆盖 HMAC 对称算法，密钥会短暂存在于页面内存——绝不要把生产环境的真实密钥粘贴进任何在线工具（包括本地的这个）。RS/ES 非对称签发请留在服务端。正确姿势：为联调单独准备测试密钥；本工具用来「快速造测试令牌」，不是「替代服务端签发」。共享测试密钥也只应活在团队密钥柜或本地 env，不要写进公开文档或截图。Header 里的 alg 必须与你选择的 HMAC 算法一致；手工改 Header 却忘了重新签名，解码器会立刻告诉你签名无效。

4. 模板各自解决什么问题

• Access：短寿命访问令牌骨架，适合测 API 中间件与权限声明。
• Refresh：更长寿命、常配合旋转策略——本页只帮你造形状，旋转与存储策略仍在服务端。
• 服务间：偏 iss/aud/sub 机器身份，适合测服务间鉴权是否校验受众。

5. 和 jwt-decoder 的闭环

生成后立刻到解码器看 Header/Payload 时间线，确认 exp/nbf 是否如你所想；解码器还可对 HS 族做本地验签。若验签失败，先查密钥是否同一把、算法是否被改成 none 或非 HMAC。生产环境的 aud/iss/吊销列表检查，仍然只能在服务端完成——本页闭环只覆盖「造令牌 → 看清令牌」。把生成结果与解码器时间线截图一起贴进联调文档，比只丢一串 token 更容易让同事复现「过期 / 未生效 / 缺 claim」三类失败。

6. 联调清单（避免假绿）

1. 用测试密钥，不用生产密钥；密钥长度与字符集按你们环境约定。
2. 至少准备：有效令牌、已过期令牌、nbf 在未来的令牌、缺必填 claim 的令牌。
3. 服务端断言要验签名，而不是只 base64 解码 payload——只解码时任何人都是管理员。
4. 记录本次用的 alg 与关键 claim，方便同事复现同一失败用例。密钥轮换演练时，用旧密钥签一枚、用新密钥验一枚，确认失败路径可读，而不是只测「新密钥一切正常」。

7. 算法与时间窗验收

本页签发侧支持常见 HMAC（如 HS256/384/512）：密钥与算法必须和校验方一致。可套用 payload 模板并写入 iat/exp/nbf；校验时注意时钟偏差与 leeway。alg=none 或空签名属于危险组合，联调环境外不要启用。密钥当密码保管，勿把生产密钥贴进演示。