فاحص ومحلل رموز JWT
يتم فك التشفير محلياً في ذاكرة المتصفح. لا يتم إرسال الرموز إلى أي خادم خارجي أبداً.
فاحص ومحلل رموز JWT
يتم فك التشفير محلياً في ذاكرة المتصفح. لا يتم إرسال الرموز إلى أي خادم خارجي أبداً.
تنبيه أمني حاسم: فك تشفير JWT يقوم فقط بتحويل Base64URL إلى نص JSON مقروء. فك التشفير ليس تحققاً من صحة التوقيع! يمكن لأي شخص تزييف البيانات ما لم يتم التحقق من التوقيع بمفتاح سري على الخادم.
كيفية فحص وفك تشفير رموز JWT بأمان وموثوقية
1. ألصق رمز JWT المدمج
ألصق السلسلة المكونة من ثلاثة أجزاء مفصولة بنقاط (الترويسة.الحمولة.التوقيع) أو اختر أحد الرموز التجريبية.
2. فحص الترويسة وخوارزمية التوقيع
تحقق من نوع الرمز ("typ": "JWT") وخوارزمية التوقيع ("alg": "HS256" أو غيرها)، واحذر من خوارزمية "none" الخطيرة.
3. فحص المطالبات والبيانات (Claims)
اطلع على تاريخ انتهاء الصلاحية (exp)، تاريخ الإصدار (iat)، جهة الإصدار (iss)، الجمهور المستهدف (aud) وهوية المستخدم (sub).
4. تتبع الصلاحية والوقت المتبقي فورياً
شاهد العداد الحي الذي يوضح ما إذا كان الرمز نشطاً أو منتهي الصلاحية أو لم يبدأ سريانه بعد (nbf).
بنية رمز JWT وآلية المعالجة بتنسيق Base64URL
يتكون رمز JWT (معيار RFC 7519) من ثلاثة أجزاء مفصولة بنقاط: Base64URL(الترويسة) . Base64URL(الحمولة) . التوقيع. يقوم فك التشفير بتحويل هذه الأجزاء إلى كائن JSON مقروء باستخدام TextDecoder لترميز UTF-8. البيانات في رموز JWS القياسية مرمزّة وليست مشفرة، ويمكن لأي شخص قراءتها بمجرد فك الترميز.
| المعيار / المتطلب التشفيري | المعيار المعتمد والقيمة |
|---|---|
| المواصفة الدولية | RFC 7519 (JWT) و RFC 7515 (JWS) |
| تنسيق الترميز | Base64URL (آمن للروابط وبدون أحرف حشو) |
| معيار التوقيت | توقيت يونكس Unix Epoch (بالثواني منذ 1970) |
| مكان المعالجة | ذاكرة المتصفح المحلية (صفر حزم شبكية) |
الفرق الجوهري بين فك التشفير والتحقق من التوقيع الرقمي
فك تشفير رمز JWT يقوم فقط بتحويل ترميز Base64URL إلى نص JSON واضح، ولا يعني إطلاقاً أن الرمز موثوق أو صادر من جهتك المعتمدة. يمكن لأي شخص تزييف البيانات وصنع رمز مطابق. التحقق الحقيقي من صحة التوقيع يتم حصرياً داخل خادمك الآمن باستخدام المفتاح السري.
الأسئلة الشائعة: فحص وتحليل رموز JWT
هل فك التشفير يعني أن الرمز أصلي وغير مزور؟
لا. فك التشفير يعرض محتويات الرمز فقط. إثبات أن الرمز غير مزور يتطلب التحقق من التوقيع الرقمي باستخدام المفتاح السري على الخادم.
هل يتم إرسال الرموز التي ألصقها إلى أي خادم خارجي؟
أبداً. تتم جميع العمليات في ذاكرة متصفحك محلياً بنسبة 100%، ولا يتم تخزين أو نقل أي بيانات عبر الإنترنت.
ما هو الخطر الأمني لخوارزمية "none"؟
تعني خوارزمية "none" أن الرمز غير موقع. إذا قبل الخادم هذا الرمز عن طريق الخطأ، يمكن للمهاجم تزييف أي حساب دون الحاجة لمفتاح.
ما هو الفرق بين رموز JWS ورموز JWE؟
رموز JWS تكون موقعة رقمياً ولكن بياناتها مقروءة للجميع، بينما رموز JWE تكون مشفرة بالكامل ولا يمكن قراءة حمولتها إلا لمن يملك مفتاح فك التشفير.