alg 为 none 是什么意思？

表示 Token 未签名。工具会解码但红字标注，生产系统必须拒绝 none，否则任何人都能伪造令牌。

时间为什么和预期差几小时？

exp 和 iat 是 UTC 的 Unix 时间戳，工具按本机时区换算显示。服务端判断过期用的是 UTC 秒数，不受时区影响。

不需要。HMAC 用签发和验证共用的同一个 Secret；RSA 与 ECDSA 验签只需要公钥，私钥不要贴到任何在线工具。

常见原因是 Secret 或公钥不对、Header 的 alg 与所选密钥格式不一致、Token 被截断或含空格，或 HS 系列的 Secret 实际是 Base64 编码的，需改选 Secret Base64。

调试 OAuth2 / SSO / API 鉴权时常用的三件事，都在浏览器本地完成：

解码：把 header.payload.signature 三段拆开，展示 Header、Payload 的 JSON，以及每段的 Base64URL 原文（自动补齐 URL 安全字符和 padding）。
验签：粘贴密钥或公钥，校验 Token 是否由对应密钥签发、有没有被篡改。支持 HS256/384/512、RS256/384/512、ES256/384/512、PS256/384/512，算法直接读 Header 里的 alg。
生成：用 HMAC（HS256/384/512）和一个 Secret 本地签发一个测试 Token。

时间声明（exp / nbf / iat）会换算成本地时间并给出「还有多久过期 / 多久前签发」。

粘贴 Token：贴进上方输入框，边打边解码。
看 Payload：右侧是解码后的声明；下方表格逐条列出 exp / nbf / iat 的本地时间和状态，以及 iss / sub / aud 等标准字段和自定义字段。
验签（可选）：选择密钥格式 —— HS* 填共享 Secret（文本或 Base64），RS/ES/PS* 粘贴 PEM 公钥或 JWK —— 点「校验签名」。
生成（可选）：切到「生成 JWT」标签，选算法、填 Secret、编辑 Payload，可勾选自动补 iat / exp。

Q：验签需要私钥吗？ A：不需要。HMAC（HS*）用的是签发和验证共用的同一个 Secret；RSA / ECDSA（RS/ES/PS*）验签只需要公钥，私钥永远不要贴到任何在线工具。

Q：alg: none 是什么？ A：表示 Token 未签名。工具会解码它但会红字标注 —— 生产系统必须拒绝 none，否则任何人都能伪造。

Q：为什么显示"签名不匹配"？ A：常见原因：Secret / 公钥不对；Header 里的 alg 与你选的密钥格式不一致；Token 被截断或多了空格；HS* 的 Secret 实际是 Base64 编码的（改选「Secret Base64」）。

Q：时间为什么和我预期差几小时？ A：exp / iat 是 UTC 的 Unix 时间戳，工具按你本机时区换算显示。服务端判断过期用的是 UTC 秒数，不受时区影响。

Q：数据会上传吗？ A：不会。解码、验签、签发全部用浏览器的 Web Crypto 在本地完成，Token 和密钥不发送到任何服务器。