技术问询：能否查看非自有Web应用的JS变量及JWT令牌？

没问题，我来拆解这两个问题给你：

当然可以，只要这些变量处于浏览器开发者工具能访问到的作用域内，就能轻松查看：

• 打开浏览器的开发者工具（比如Chrome DevTools、Firefox DevTools），切换到Sources（调试器）面板，设置断点暂停代码执行后，就能在「作用域」面板或控制台里查看当前可访问的所有变量值。
• 如果变量挂在全局的window对象上，直接在控制台输入变量名就能输出它的内容。
• 就算变量在局部作用域里，也可以通过调用栈回溯、条件断点等方式定位到对应的作用域，进而查看变量。

答案也是肯定的，而且JWT的特性让它很容易被找到：

• 查看存储位置：大多数应用会把JWT存在localStorage、sessionStorage或者Cookie中。你可以打开开发者工具的Application（Chrome）或Storage（Firefox）面板，直接查看这些存储项里的令牌字符串。
• 查看网络请求：用户登录后，应用发起的请求通常会在请求头里携带Authorization: Bearer <JWT_TOKEN>，切换到Network面板，随便找一个认证后的请求，就能在请求头里找到完整的令牌。
• 调试内存变量：如果JWT只存在内存变量中，你可以在认证流程的关键代码处（比如登录成功后的回调）设置断点，暂停后在作用域面板或控制台里找到存储令牌的变量，查看其内容。

额外提醒一句：JWT的Payload部分是Base64编码的（不是加密），任何人都能解码出里面的内容（比如用户ID、过期时间等），所以正规应用都不会把密码这类敏感信息放在Payload里——这是JWT的核心安全原则之一。

内容的提问来源于stack exchange，提问作者Ole