Key 与 JWT 解析器
LOCAL KEY INSPECTOR本地解析粘贴 API Key、JWT 或接口地址，识别它属于哪家厂商、JWT 里写了什么、什么时候过期、地址有没有写错。解析在浏览器本地完成，Key 不会被发送到任何服务器。
粘贴 Key / JWT / 地址
一行一个，支持一次贴一批 Key 做批量识别与去重。
识别结果
指纹用本地短哈希算法生成，只用于区分「是不是同一把 Key」。
| # | 类型 / 厂商 | 长度 | 指纹 | 说明 |
|---|
JWT 详情
只解码不验签：未验证签名，不能用来证明令牌有效。
接口地址体检
客户端里 Base URL 填错是最常见的 404 来源。
怎么用
- 粘贴内容把 Key、JWT 或接口地址一行一个贴进左侧输入框，支持一次贴一整批。
- 看识别结果右侧表格给出每条的判定类型、长度、指纹与是否重复；无法确定的会明确说明「只能确认像密钥」。
- 读 JWT 详情贴入 JWT 后会解码出 Header 与 Payload，列出常用声明并提示 alg=none、已过期、无 exp 等风险。
- 体检地址在「接口地址体检」里填客户端要用的 Base URL，页面给出建议值与完整对话接口地址。
Key 与 JWT 解析常见问题
只凭前缀能确定是哪家厂商吗？
不能。只有 sk-proj-、sk-ant-、sk-or-v1-、AIza、xai-、hf_ 这类厂商专属前缀才能确定；而 sk- 开头的格式被 OpenAI 旧版与大量中转站共用，页面会明确标注「无法仅凭前缀区分」，请以签发后台为准。
JWT 解码会不会泄露我的令牌？
不会。解码只用浏览器的 atob 与 TextDecoder，在本地完成，不请求任何接口。不过仍建议：任何在线页面都不适合长期粘贴生产环境的主令牌。
为什么说 JWT「解码不等于验证」？
JWT 的前两段只是 base64url 编码的明文，任何人拿到都能读；有效性由第三段签名与服务端密钥决定。本页不做签名校验，因此「能解码」不代表令牌有效或未被篡改。
指纹是怎么算的？能反推出 Key 吗？
用的是 FNV-1a 32 位短哈希，只用于在同一批内容里识别重复项。它不是加密哈希、也没有加盐，理论上可被暴力碰撞，请不要把它当作安全凭证。
Base URL 到底填到 /v1 还是完整地址？
多数客户端（OpenAI SDK、Cursor、Cline 等）要求填到 /v1，再由客户端自己拼 /chat/completions；少数工具要求填完整接口地址。页面会同时给出「建议 Base URL」与「完整对话接口」，照着填就不会 404。
支持识别 AWS、GitHub、Stripe 这类非 AI 的 Key 吗？
支持识别格式（AKIA 开头的 AWS Access Key ID、ghp_ 的 GitHub Token、sk_live_ 的 Stripe Key），但页面只做格式判断，不校验有效性、不查询权限。
相关工具
只做本地格式识别与 base64url 解码，不校验签名也不联网；密钥内容不上传、不落盘。
