jwt.io 说签名验证即使没有提供密钥

jps*_*jps 8

jwt.io调试器双向工作，您可以检查和验证令牌或创建和签署令牌。当您首先将令牌粘贴到左侧，然后将密钥或密钥粘贴到右侧列中“验证签名”下的字段中时，将重新创建签名，您应该注意到它已更改。在这种情况下，结果总是“签名验证”，因为签名只是根据输入的秘密计算的。

验证签名的正确方法是首先将密钥粘贴到密钥字段中，然后将令牌粘贴到调试器的左侧。始终确保输入字段中的任何其他内容都被覆盖。如果您的密钥实际上是 Base64 编码的（即以 Base64 编码形式存储的二进制秘密），您应该通过选中“秘密 base64 编码”复选框来告诉 jwt.io。

那么结果，无论是“签名”验证“还是“无效签名”，都是正确的。

之后您输入的每个秘密都会导致重新计算签名，然后它总是会被验证（使用新的秘密）。同样单击“秘密 bas64 编码”复选框会导致重新计算。

但是，如果您以正确的顺序执行此操作，则错误的秘密会导致“无效签名”结果：