JWT 解释：解码 Claims 不等于验证 Token

常见 JWT 由 header、payload 和 signature 三段组成，以点号分隔。header 通常说明类型和签名算法，payload 保存 subject、issuer、audience、expiration 和应用字段，signature 用来保护前两段不被篡改。前两段是编码，不是加密。

claim 是 payload 里的陈述。subject 可能标识用户，audience 可能标识 API，expiration 说明过期时间。但攻击者可以写出任意 payload。信任来自签名验证、issuer、audience、时间检查和应用授权规则。

exp、iat、nbf 通常是以秒为单位的 NumericDate。JavaScript 常用毫秒时间戳，混用会让日期偏离一千倍。调试过期或未生效 token 时，先转 UTC，再和服务器时间及策略比较。

issuer 表示谁签发 token，audience 表示 token 给谁用。它们能防止 staging token 进入生产，或 profile API 的 token 被 billing API 接受。许多 JWT 问题不是密码学失败，而是缺少 issuer 或 audience 检查。

验证方不应盲信 header 里写的算法。应用配置应定义允许算法和密钥。公钥轮换、key id 和 JWKS 能提高灵活性，也会引入缓存过期和密钥配置错误等失败模式。

很多 JWT 是 bearer token：谁持有它，谁就能在过期或撤销前使用它。因此原始 token 不应出现在工单、截图、聊天、日志或不必要的在线工具中。调试时优先用合成 token 或脱敏 claim。

先本地解码 header 和 payload，读取 iss、aud、sub、exp、iat、nbf、roles、scopes 和环境标记；把时间转 UTC；再检查拒绝服务期望的 issuer、audience、算法、密钥和时钟容差。若这些正确，再看授权逻辑。