本地 · 不上传

先看清楚，
再信这个 Token。

Base64URL 解码 Header/Payload，检查 exp/nbf。不验证签名（需密钥的场景请用服务端）。