فكّ ترميز JWT

كيفية الاستخدام فكّ ترميز JWT

1. الصق الرمز. تُفكّ الأجزاء الثلاثة فورًا.
2. اقرأ خوارزمية التوقيع في الترويسة والمطالبات في الحمولة.
3. تحقّق من لوحة الصلاحية لمعرفة إن كان الرمز ساريًا.

رموز الإنتاج لا تُلصق في موقع

رمز الوصول بطاقة دخول: من يملكه يتصرّف باسم صاحبه حتى انتهاء صلاحيته.

وأشهر أدوات JWT على الإنترنت ترسل الرمز إلى خادم — بعضها للتحقّق من التوقيع وبعضها لأن النموذج يُرسَل ببساطة. وبذلك تصل بطاقة دخول صالحة إلى طرف ثالث، ومن يسجّلها يحصل على وصول عامل.

وتفكّ هذه الأداة الترميز محليًا فقط. تحقّق في تبويب الشبكة بأدوات المطوّر: لا يظهر طلب عند اللصق. وإن سبق أن لُصق رمز في مكان ما فيجب اعتباره مكشوفًا وإبطاله.

ماذا في الأجزاء الثلاثة

الترويسة والحمولة نصّان بصيغة JSON مرمّزان بـBase64. والتوقيع وحده ما يصنع الأمان.

والمطالبات المعتادة: sub معرّف صاحب الرمز، وexp وقت الانتهاء بصيغة يونكس، وiat وقت الإصدار، وiss جهة الإصدار. ولأن الحمولة مقروءة للجميع فلا توضع فيها بيانات حسّاسة، ولا كلمات مرور بأي حال.

مفكوك لا يعني موثوقًا

الرمز المفكوك يقول ما يدّعيه صاحبه. وصحّة الادعاء يحسمها التوقيع وحده.

والتحقّق يحتاج مفتاحًا: سرًّا مشتركًا في خوارزميات HMAC، أو مفتاحًا عامًا في RSA وECDSA. وكلاهما مكانه الخادم لا أداة في المتصفح — ولذلك لا تتحقّق هذه الأداة.

وهناك ثغرة تاريخية تستحق الذكر: مكتبات كانت تثق بحقل alg في الترويسة، فيمكن إقناعها بقيمة none لتقبل أي توقيع. والمكتبات الحديثة تشترط أن يحدّد الخادم الخوارزمية المتوقّعة بدل أخذها من الرمز.

الأسئلة الشائعة