RS256生成的JWT能否被jwt.io解码？如何加密避免用户查看payload

最近我搭建了首个Express服务器，使用JWT实现了用户认证功能。目前我希望对JWT进行加密，避免用户可以在jwt.io网站查看其payload内容。请问使用RS256加密算法，是否可以在用户没有公钥/私钥的情况下，阻止其查看JWT的payload内容？

首先给出明确结论：使用RS256算法无法实现你要的效果，用户仍然可以正常查看JWT的payload内容，具体原因和解决方案如下：

• RS256属于非对称签名算法，作用是为JWT生成防篡改签名，仅能验证JWT内容是否被第三方篡改，不属于加密算法，不会对JWT的header、payload部分做加密处理。
• 标准JWT（即JWS，JSON Web Signature）的header和payload仅采用可逆的Base64Url编码，不需要任何密钥就可以解码得到明文内容，这也是任何人拿到JWT字符串都可以直接解析出payload的原因。

如果需要避免payload内容被外部读取，你需要使用JWE（JSON Web Encryption）标准，它会对payload部分做加密处理，只有持有对应解密密钥的服务端才能解密得到明文内容，外部用户拿到加密后的字符串无法直接解析出payload。
在Express项目中可以使用jose等成熟的JWT工具库快速实现JWE的加解密逻辑。

内容的提问来源于stack exchange，提问作者user15499983