JWT 解码

这里只做本地解码，不校验签名。解码成功不代表令牌可信 —— 任何人都能伪造 payload。请勿用它判断令牌是否有效。