Firebase生成含下划线的JWT负载的有效性及客户端读取问题

1. 包含下划线字符的JWT负载是否有效？ #

其实你之前的理解存在一点偏差——JWT使用的不是标准Base64编码，而是Base64URL编码（定义在RFC4648中）。这种编码方式为了适配URL场景做了关键调整：

• 将标准Base64的+替换成-
• 将标准Base64的/替换成_
  同时会移除末尾的填充字符=。所以带有下划线的JWT负载是完全符合规范的，是有效的。

2. 为什么Firebase会生成此类Token，且Admin SDK可验证解码？ #

Firebase的身份认证Token严格遵循JWT官方标准（RFC7519），自然采用Base64URL编码生成负载。而Firebase Admin SDK本身就是按照JWT标准实现的验证和解码逻辑，所以能正常处理带有下划线的Token，这是完全合规的常规行为，并非特殊例外。

3. 相关规则文档与客户端读取方法 #

规则文档 #

JWT的核心规范是RFC7519，其中明确指定使用Base64URL编码处理JWT的头部、负载、签名各部分；Base64URL的具体编码规则则在RFC4648的第5节中定义。

不验证Token的前提下在JS客户端读取负载 #

浏览器自带的atob()函数只能处理标准Base64编码，直接用它处理Base64URL字符串会失败，所以需要先把Base64URL转换回标准Base64格式，再解码。这里给你一个简单的实现函数：

function decodeJwtPayload(jwtToken) {
  // 拆分JWT的三个部分：header.payload.signature
  const [, payloadBase64Url] = jwtToken.split('.');
  
  // 将Base64URL转换为标准Base64
  const payloadBase64 = payloadBase64Url
    .replace(/-/g, '+')
    .replace(/_/g, '/');
  
  // 补全Base64需要的填充字符
  const paddedPayloadBase64 = payloadBase64.padEnd(
    payloadBase64.length + (4 - payloadBase64.length % 4) % 4, 
    '='
  );
  
  // 解码并解析为JSON对象
  const payloadJson = atob(paddedPayloadBase64);
  return JSON.parse(payloadJson);
}

// 使用示例
const firebaseToken = '你的Firebase JWT Token';
const payload = decodeJwtPayload(firebaseToken);
console.log(payload);

⚠️ 注意：这种方式仅用于读取负载内容，并没有验证Token的签名有效性，绝对不能用这种方式做权限校验——敏感的权限逻辑必须在后端通过Admin SDK完成签名验证后再处理。

内容的提问来源于stack exchange，提问作者stropitek