工程師日常工具箱 2026：我每天用的 10 個瀏覽器內小工具（不用安裝、不用註冊）

(1) 隱私：JWT / 內部 token 不該貼到雲端服務。(2) 速度：本機 JS 比 round-trip 雲端快。(3) 離線：飛機上 / 沒 Wi-Fi 也能用。

JSON formatter 的某個熱門站偷偷把使用者資料當 log 收集；JWT.io 雖然官方但每次 prod 環境的 token 都不該離開。最安全是 client-side。

看起來健康。但用 percentile 看你會發現：p50=80ms / p95=200ms / p99=2000ms。意思是 1% 的請求（每天可能上萬次）要 2 秒才回，這是 SLA 災難。

9 個請求 100ms + 1 個請求 2000ms = average 290ms（看起來爛）。但其實是「9 個正常 + 1 個 outlier」。平均值被極值拉走，看不到真實 user 體驗。

p50（中位數，看正常用戶體驗）、p95（看不滿意但能容忍的用戶）、p99（看最糟糕 1% 體驗，通常是 alert 條件）。

從 100MB 的 nginx log 找出特定 user-agent 的 5XX 錯誤，用 `5\d\d.*ChromeOS` 一發中。但這正則寫錯一個字就要重跑，先在 tester 驗證。

前端 form 驗證最常用。但 Email regex 有 1000 個版本，要看實際需求。簡單版 `\S+@\S+\.\S+` 夠多數情況。

VS Code 內建 regex find/replace。複雜的先在線上 tester 寫好再貼回 VS Code，避免改錯 production code。

JWT 看起來是亂碼，實際是 3 段 base64：header.payload.signature。decoder 把它解開，你能看到 claims（如 user_id / exp / iat 等）。

(1) 401 錯誤 — 看 exp 是不是過期了。(2) 403 錯誤 — 看 role / scope 是不是對。(3) 跨服務認證 — 看不同 service 的 audience 是不是匹配。

Decoder 只能「讀」不能「驗證簽名」。簽名驗證需要 secret / public key，decoder 沒有。所以 decoder 出來的內容可能是「假造」的，prod 環境別只信 decoder 結果。

(1) 命令列，可寫進 script。(2) Output 可 pipe 給 jq / grep 等工具。(3) 不用打開 Postman 等 5 秒。(4) 可以分享給同事不用 export postman collection。

在 dev.9niche.com 用 cURL 表單填好 method / URL / headers / body，產生命令列指令。複製到 terminal 後再微調 token 等敏感資料（不在瀏覽器處理）。

(1) 個人 debug：cURL（快）。(2) 團隊分享 API spec：Postman collection。(3) 自動化測試：pytest + requests > Postman。