Token载荷查看

你要解决什么问题

调试「当前登录信息」面板时，你拿到一段 JWT，却看不清里面到底塞了什么。想知道 exp 是不是快过期、sub 对应的用户标识长什么样，只能手动跑去 jwt.io 粘贴复制，或者写临时脚本跑 JSON.parse——前者要开浏览器、有泄露风险，后者没有针对 JWT 的语义解析，Base64 解码完还是一团乱码。

这个技能就是把这一步收进 Agent 工作流：拿到 token 字符串，本地用 jwt-decode 解析，直接给你可读的字段表。

技能如何工作

核心能力非常聚焦：只做解码展示。输入一段 token，输出一个字段名到值的映射，让你一眼看到 sub、exp 等声明的实际内容。

Agent 执行时的关键步骤：

• 依赖 jwt-decode 库完成 Base64URL 解码与 JSON 解析，不自己造轮子。
• 调试面板中展示 sub、exp、expired 等关键字段，但不会把完整 token 明文打进公开日志——这是有意的安全约束。
• 解码结果直接渲染成结构化的字段列表，方便你在对话中快速定位问题。

自测覆盖两种情况：合法的三段式 JWT 能正常解码出字段；乱码或格式不对的字符串返回 { ok: false }，而不是抛未捕获异常把流程炸掉。

适用边界与注意点

这个技能有一条硬边界：解码不等于验签。它不会校验签名是否正确，也不判断 token 是否真的可信。任何需要确认身份、控制权限的场景，仍然必须走后端鉴权逻辑，解码结果只能当调试辅助。

几条明确的红线：

• 禁止签发或伪造 token，这个技能只做读取和展示。
• 不要把解码出的完整 token 明文贴到公开示例或日志里，尤其不要发到 SkillHub 的 demo 区。
• 它不是完整的 OAuth 或刷新令牌管理中心，不处理 token 轮换、过期刷新这类流程。

换句话说，当你只想确认「这个 token 里的过期时间设对了吗」「字段名是不是我预期的 sub 而不是 userId」时，打开这个技能就够了。但生产环境的鉴权，请老老实实交给服务端。