貼進去的東西，不會離開你的電腦
這一類工具最常被貼進去的，是正式環境的 JWT、含客戶資料的 API 回應、還沒輪替的 API key。所以先把前提講清楚：這裡所有計算都在你的瀏覽器裡執行，你貼的內容不會送到本站伺服器。每一頁的工具區塊也對站上的操作錄影（Microsoft Clarity）整塊遮蔽，貼進去的字、算出來的結果、產生的密碼與 Markdown 預覽都不會被錄下。不放心的話，打開 DevTools 的 Network 分頁再貼一次：看到的只會是流量統計與廣告的請求，這也是你評估任何線上工具該做的第一個動作。
真正的風險從來不是工具算錯，而是「把 production token 貼到別人的伺服器」這個動作本身。如果你剛剛在別的地方貼過還有效的 token，看完記得輪替。
編碼不是加密
Base64、URL 百分比編碼、JWT 的 payload，這三個最常被誤認成「加密過了」。它們都只是換一種寫法，沒有金鑰，任何人拿到字串都能還原回去。
- Base64：每 3 個位元組編成 4 個字元，結果比原文長約三分之一。它是為了讓位元組安全穿過只吃文字的通道（email 附件、Authorization: Basic、data URL）而生，不是為了藏東西。
- URL 編碼：把非 ASCII 換成 %XX，decode 回來就是原文。server log 裡那串 %E4%B8%AD 不是亂碼，是編碼。
- JWT：header 與 payload 是 base64url，任何拿到 token 的人都讀得到裡面的 sub、email、exp。 簽章只保證沒被改過，不保證沒被看過，所以密碼、身分證號不要放進 payload。這頁只解碼、不驗簽，驗簽要在後端拿密鑰或公鑰做。
要真的單向、不可還原，才輪到雜湊計算：SHA-256 算得出來、回不去，適合比對 checksum 與產生摘要。但存使用者密碼不能只用 SHA-256，要用 bcrypt、argon2 這類刻意算得慢的演算法。
台灣證號產生器產的是測試資料，不是身分
身分證、統一編號、台胞證與居住證這幾支產生器，只保證號碼通過各自的檢查碼演算法，號碼背後沒有對應的人或公司；統編產生器甚至有機率跟已登記的公司撞號。正當用途只有開發測試、表單前端驗證、QA mock，拿去申辦業務、開發票或假冒身分會涉及偽造文書。要查真實公司統編，請走財政部或經濟部的公開查詢。
兩件實務上會咬到人的事：統一編號的檢查碼，財政部自 112 年 4 月起從「加權總和可被 10 整除」改為「可被 5 整除」，舊號全部仍然有效（能被 10 整除必然能被 5 整除），程式裡把 % 10 改成 % 5 即可，沒改的系統會把新公司的真實統編判成無效。外來人口統一證號則自 2021 年 1 月 2 日起改為與國民身分證同格式，舊式證號並行到 2030 年底，驗證邏輯兩式都要收。
哪個 bug 開哪一支
- 看不懂手上的資料：單行 JSON 用JSON 格式化（有樹狀檢視，點 key 直接複製 JSONPath）；一串十位數字用Unix 時間戳轉換，它會自動分辨秒與毫秒；401 登不進去先用 JWT Decode 看 exp 過期了沒。
- 要產出東西：新密碼用密碼產生器，走 crypto.getRandomValues 並附 entropy 位元數；主鍵與測試 ID 用UUID，v4 是純隨機、v7 開頭帶時間戳可排序；一批表單假資料用台灣測試資料產生器，一次最多 200 筆、可貼進試算表；版型佔位用Lorem Ipsum，拉丁假文預覽不出中文字寬，所以它也有中文段落。
- 規則與外觀：表單驗證與 log 解析的規則先用Regex 測試試對再放進程式；切版對色用顏色換算與CSS 漸層產生器，上線前用WCAG 對比度檢查確認一般文字過 AA 的 4.5:1；README 與技術文件用Markdown 預覽邊寫邊看。
常見問題
我把 production 的 token 貼進來，會被上傳嗎？
不會送到本站：這一類工具的計算都在你的瀏覽器裡執行。JWT、JSON、Base64、URL 編碼、雜湊與 Regex 這幾頁的輸入與結果，對站上的操作錄影（Microsoft Clarity）也整塊遮蔽。要自己確認的話，打開 DevTools 的 Network 分頁再貼一次，看到的只會是流量統計與廣告的請求。 JWT Decode 解碼
Base64 算不算加密？
不算。Base64 是編碼，沒有金鑰，任何人拿到字串都能 decode 回原文，而且結果比原文長約三分之一。要保密請先用 AES 這類演算法加密，需要過只吃文字的通道時再把密文 Base64。 Base64 編碼解碼
JWT 工具會幫我驗簽章嗎？
不會，這頁只解碼 header 與 payload，並把 exp 轉成人類可讀的時間。驗簽需要密鑰或公鑰，應該在後端做；前端頁面說「這個 token 有效」是誤導。 JWT Decode 解碼
產生的身分證號或統一編號可以拿去辦事嗎？
不行。產生器只保證號碼符合檢查碼演算法，不對應真實的人或公司，統編還有機率與已登記公司撞號。請只用在本機開發、表單前端驗證與 QA 測試資料，不要送進電子發票、報稅或任何第三方系統。 統一編號驗證與產生器
為什麼有些新公司的統編，我的系統驗不過？
因為財政部自 112 年 4 月起把統一編號檢查碼從「加權總和可被 10 整除」改為「可被 5 整除」。舊號全部仍然有效，程式裡把 % 10 改成 % 5 就好，不需要寫兩套邏輯。沒更新的系統會把真實存在的新公司統編判成無效。 統一編號驗證與產生器
雜湊計算為什麼沒有 MD5？
因為這頁走瀏覽器原生的 Web Crypto API，它只提供 SHA-1、SHA-256、SHA-384、SHA-512，沒有 MD5。MD5 早已被證明可以碰撞，本來也不該再用於安全用途；SHA-1 同樣只適合比對舊系統給的 checksum。 雜湊計算
UUID 要選 v4 還是 v7？
v4 是純隨機，最通用，當作 API token 或不需要排序的識別碼就用它。v7 開頭帶毫秒時間戳，產生順序即字典序，當資料庫主鍵時對 B-tree 索引比較友善，也能從 ID 看出大致建立時間，但因此會洩漏時間資訊。 UUID 產生器
這些工具需要註冊或安裝嗎？
不用。開頁面就能用，沒有帳號、沒有次數限制。JSON 格式化與 Regex 測試會把最近 5 筆輸入存在這台裝置的瀏覽器裡，用公用電腦時記得把紀錄刪掉；其餘工具不留紀錄。