فك ترميز JWT
JWT ثلاثة أجزاء تفصل بينها نقاط: الترويسة والحمولة والتوقيع. تفك الأداة ترميز الترويسة والحمولة وتعرض exp وiat وnbf بالتوقيت العالمي والمحلي. ولا تتحقق من التوقيع.
طريقة الاستخدام
- الصق الرمز في المربع. تُتجاهل كلمة Bearer في البداية وعلامات التنصيص وفواصل الأسطر.
- اقرأ الترويسة والحمولة بصيغة JSON منسقة. اضغط نسخ لنسخ أي منهما.
- راجع الشارة ومطالبات الوقت. تُعرض exp وiat وnbf بتوقيت UTC وبتوقيتك المحلي، مع المدة المنقضية أو المتبقية.
- ليس لديك رمز؟ اضغط تحميل مثال لتجربة رمز وهمي.
طريقة الحساب
يتكون JWT من ثلاثة أجزاء تفصل بينها نقاط: الترويسة والحمولة والتوقيع. الترويسة والحمولة نص JSON مرمَّز بصيغة base64url، وهي base64 مع - و_ بدل + و/، ودون حشو =. تعكس الأداة هذا الترميز، وتقرأ البايتات بصيغة UTF-8، وتطبع JSON بإزاحة منسقة.
القيم exp وiat وnbf أعداد ثوانٍ منذ 1 يناير 1970 بتوقيت UTC. exp وقت انتهاء الصلاحية، وiat وقت الإصدار، وnbf أبكر وقت يصبح فيه الرمز صالحًا. تتبع الشارة القاعدة القياسية: يكون الرمز منتهيًا إذا كان الوقت الحالي عند exp أو بعده، وغير صالح بعدُ إذا كان الوقت الحالي قبل nbf. وتُستخدم ساعة جهازك للوقت الحالي.
يُعرض التوقيع نصًا خامًا كما هو في الرمز، ولا تتحقق منه الأداة. فك الترميز لا يحتاج إلا الرمز، أما التحقق من التوقيع فيحتاج المفتاح السري أو العام، ولا ينبغي أن يقوم به إلا خادمك.
المطالبات الشائعة
| المطالبة | المعنى |
|---|---|
| iss | المُصدر: الجهة التي أنشأت الرمز |
| sub | الموضوع: من يخصه الرمز، وغالبًا معرّف المستخدم |
| aud | الجمهور: الجهة المقصودة بالرمز |
| exp | وقت انتهاء الصلاحية، بالثواني منذ 1970 UTC |
| nbf | ليس قبل: لا يصلح الرمز قبل هذا الوقت |
| iat | وقت الإصدار: متى أُنشئ الرمز |
| jti | معرّف الرمز: معرّف فريد لهذا الرمز |
أسئلة شائعة
هل تتحقق الأداة من التوقيع؟
لا. تفك ترميز الترويسة والحمولة فقط. أي شخص يستطيع فك JWT، وأي شخص يستطيع كتابة رمز بأي محتوى، فلا تثق برمز لمجرد أنه فُك بنجاح. تحقق من التوقيع على خادمك بالمفتاح الصحيح.
هل يُرسل رمزي إلى أي مكان؟
لا. يجري فك الترميز في متصفحك ولا يُرفع شيء. ومع ذلك تعامل مع الرموز الحقيقية ككلمات المرور: لا تلصق رمزًا فعالًا من بيئة الإنتاج في أداة لا تثق بها.
لماذا تقول منتهي الصلاحية والرمز كان يعمل قبل دقيقة؟
تقارن الشارة exp بساعة هذا الجهاز. إذا كانت ساعة جهازك غير دقيقة أو كان الخادم يسمح بفارق في التوقيت، فقد يختلف الاثنان لفترة قصيرة.
ماذا يعني alg none؟
يدل على رمز غير مؤمَّن بلا توقيع. يجب أن يرفضه الخادم إلا إذا كان يقبل الرموز غير الموقعة عمدًا، وهذا نادر. وتعرض الأداة تحذيرًا عند رؤيته.
هل الحمولة مشفرة؟
لا. JWT الموقَّع العادي مرمَّز فقط، فيستطيع أي شخص يملكه قراءة الحمولة. لا تضع فيها أسرارًا. أما الرموز المشفرة (JWE) فلها خمسة أجزاء ولا تستطيع هذه الأداة قراءتها.