npm jsonwebtoken异常：错误密钥仍可验证Token

1. 错误密钥验证却得到解码结果 #

正常情况下，jsonwebtoken的verify方法会严格校验签名，使用错误密钥时会直接抛出JsonWebTokenError: invalid signature错误，不会返回解码后的payload。你遇到的异常情况大概率是Stackblitz环境中依赖的jsonwebtoken版本存在问题，或是环境的错误捕获机制隐藏了报错，让你误以为成功解码。

如果仅需解析Token的payload而不验证签名有效性，应该使用decode方法（无需密钥）：

const { decode } = require('jsonwebtoken');
const res = decode(token); // 仅解码payload，不验证签名

2. jwt.io未提供Token却显示“通过验证” #

这是界面逻辑的误导：jwt.io在未输入Token时，并不会执行实际的签名验证操作，可能只是展示示例payload或默认状态，并非真正“通过验证”。只有输入完整合法的Token字符串后，才能进行有效的签名校验。

3. 本地Token在Stackblitz无效 #

常见原因及解决办法：

• 密钥/算法不一致：确保本地和Stackblitz使用完全相同的签名密钥，以及一致的加密算法（比如都用默认的HS256，或显式指定algorithm参数）；
• 依赖版本差异：统一两边的jsonwebtoken版本（建议升级到最新稳定版），不同版本的解析/验证逻辑可能存在差异；
• Token过期：检查本地生成的Token的exp（过期时间）字段，避免设置过短导致在Stackblitz验证时已过期；
• Token传递错误：本地生成Token后，复制完整的Token字符串到Stackblitz中手动验证，不要依赖环境自动传递。

内容的提问来源于stack exchange，提问作者Abhinay Pandey