1. 01粘贴 JWT，可带 Bearer 前缀。
2. 02查看三段着色展示、Header 和 Payload JSON。
3. 03若有 iat/nbf/exp，查看本地日期与相对时间，并看过期/未生效提示。
4. 04复制结构化 JSON；需要验证签名时应在拥有正确密钥和算法策略的服务端/专用工具完成。

• 令牌必须能按 JWT Base64URL 结构解码；格式错误会显示解析失败。
• 不计算或验证 HMAC/RSA/ECDSA 签名，不检查 alg 是否被允许，也不验证 iss/aud/sub 等业务声明。
• iat/nbf/exp 只有数值类型才按 Unix 秒解释；字符串时间不会自动转换。
• 状态判断优先“已过期”，其次“尚未生效”，否则仅按时间字段显示“有效”；这不是密码学验证结果。
• JWT Payload 本来只是编码而非加密，持有 token 的人通常都可读出内容。

令牌只在浏览器内存中解码，不发送到服务器；仍应避免在不受信任设备粘贴生产环境凭据。