طريقة الاستخدام
- الصق الرمز — بادئة "Bearer " أو بدونها. الأجزاء الثلاثة مُلوَّنة.
- اقرأ الترويسة والحمولة المفكوكتين. تُعرض مطالبات iat وnbf وexp كتواريخ مع وقت نسبي.
- للتحقق من التوقيع، أدخل السر المشترك لـHS256/384/512، أو الصق المفتاح العام (PEM أو JWK) لرموز RS وPS وES وEdDSA.
- انسخ JSON المفكوك إذا احتجته في مكان آخر.
شرح الخيارات
- الترويسة
- بيانات وصفية عن الرمز، عادةً alg (خوارزمية التوقيع) وtyp. يخبرك حقل kid بالمفتاح الذي وقّعه.
- الحمولة
- المطالبات. تشمل المسجَّلة منها sub (الموضوع) وiss (المُصدِر) وaud (الجمهور) وiat (وقت الإصدار) وnbf (غير صالح قبل) وexp (وقت الانتهاء)، وكلها بثوانٍ Unix.
- التوقيع
- يثبت أن الترويسة والحمولة لم تتغيرا. يحتاج التحقق منه السر (HMAC) أو المفتاح العام للمُصدِر (RSA وECDSA وEdDSA).
- السر بصيغة Base64
- تخزّن بعض الخدمات أسرار HMAC مرمَّزة بـBase64. فعّل هذا إذا كان السر لديك بالصيغة المرمَّزة.
المطالبات الشائعة
| المطالبة | المعنى | مثال |
|---|---|---|
sub |
من يخص الرمز (معرّف المستخدم) | "1234567890" |
iss |
من أصدره | "https://accounts.example.com" |
aud |
لمن هو مخصص | "my-api" |
exp |
وقت الانتهاء، ثوانٍ Unix | 1790427600 |
iat |
وقت الإصدار، ثوانٍ Unix | 1790424000 |
nbf |
غير صالح قبل، ثوانٍ Unix | 1790424000 |
jti |
معرّف فريد للرمز، يُستخدم لمنع إعادة التشغيل | "a1b2c3" |
مثال
يُفَك ترميز الرمز eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c إلى الترويسة {"alg":"HS256","typ":"JWT"} وحمولة تحتوي sub وَname وَiat (18 يناير 2018). بالسر your-256-bit-secret يتحقق التوقيع.
الأسئلة الشائعة
هل من الآمن لصق JWT إنتاجي هنا؟
يُفك ترميز الرمز بواسطة JavaScript في متصفحك ولا يُرفع أو يُسجَّل. مع ذلك، عامل رموز الوصول كما تعامل كلمات المرور — يستطيع أي شخص يملك رمزًا صالحًا استخدامه حتى تنتهي صلاحيته.
هل يثبت فك ترميز JWT أنه أصلي؟
لا. الترويسة والحمولة مرمَّزتان فقط بـBase64URL، لذا يستطيع أي شخص قراءتهما أو تزويرهما. فقط فحص توقيع ناجح بالمفتاح الصحيح يُظهر أن الرمز صدر عن الجهة المتوقعة.
لماذا يفشل التحقق مع السر الصحيح؟
تحقق مما إذا كان السر مرمَّزًا بـBase64، ووجود مسافة أو سطر جديد زائد، وأن الخوارزمية في الترويسة تطابق ما يستخدمه المُصدِر. أي تغيير في الرمز، حتى حرف واحد، يكسر التوقيع أيضًا.
ماذا تعني "alg none"؟
يدّعي الرمز أنه غير موقَّع. يجب على الخوادم رفض هذه الرموز ما لم تتوقعها صراحةً؛ فقبولها تسبب في تجاوزات مصادقة حقيقية.
كيف أحصل على المفتاح العام لرموز RS256؟
تنشر مزودات الهوية مفاتيحها كـJWKS، عادةً في /.well-known/jwks.json. انسخ المفتاح الذي يطابق kid في ترويسة الرمز والصقه هنا كـJWK.
الخصوصية
تعمل هذه الأداة بالكامل داخل متصفحك. تُعالَج ملفاتك ونصوصك على جهازك ولا تُرفع أبدًا إلى خوادمنا.