فاك ترميز JWT

ما المقصود بفاكّ ترميز JWT؟

أداة فكّ ترميز JWT تقسم رمز JSON Web Token إلى أجزائه الثلاثة — header وpayload وتوقيع — ثم تفكّ ترميز Base64URL لأول جزأين كي تقرأهما كـ JSON. المطورون يستخدمونها باستمرار أثناء تتبع مشاكل تسجيل الدخول والصلاحيات والـ claims وانتهاء صلاحية الرموز.

فكّ ترميز JWT *لا يعني* الوثوق به. الـ header والـ payload قابلان للقراءة بحكم تصميمهما — هما مرمَّزان فقط بـ Base64URL وليسا مشفَّرَين. التحقق هو ما يُثبت أن الرمز موقَّع من الجهة المتوقعة وأنه لم يُعبَث به.

شكل JWT هو header.payload.signature، وكل جزء مرمَّز بـ Base64URL ومفصول بنقطة. الـ header يحدد خوارزمية التوقيع، والـ payload يحمل الـ claims (هوية المستخدم، وقت انتهاء الرمز، الصلاحيات الممنوحة)، والتوقيع يسمح للخادم بإثبات أن الرمز لم يُعدَّل.

ما الذي ستتعلّمه أثناء فكّ ترميز JWT

• رمز JWT يتكوّن من ثلاثة أجزاء مرمَّزة بـ Base64URL ومفصولة بنقاط: header.payload.signature.
• الـ claims الشائعة مثل sub وrole وiat وnbf وexp تصف الهوية والصلاحيات ووقت الإصدار ووقت انتهاء الصلاحية.
• أي شخص يستطيع تعديل الـ payload المفكوك — التوقيع وحده هو ما يمكّن الخادم من اكتشاف العبث.

خطوات فكّ ترميز JWT

1. 1

   ألصق الرمز كاملًا

   ألصق الـ JWT في صندوق الإدخال. يجب أن يبدو بهذا الشكل xxxx.yyyy.zzzz — ثلاثة أجزاء مرمَّزة بـ Base64URL يفصل بينها نقاط.

2. 2

   اقرأ الـ header

   الـ header يخبرك بخوارزمية التوقيع (alg) ونوع الرمز. انتبه جيدًا لـ "alg": "none" — معناه أن الرمز غير موقَّع ولا يمكن الوثوق به.

3. 3

   اقرأ claims الـ payload

   الـ payload هو الـ JSON الذي يحتوي على كل الـ claims. ابحث عن sub (معرّف المستخدم) وexp (وقت الانتهاء) وiat (وقت الإصدار) وأي claims مخصّصة يضيفها تطبيقك مثل role أو tenant.

4. 4

   تحقّق من انتهاء الصلاحية

   حوّل قيمة exp (طابع زمني Unix) إلى تاريخ — إذا كانت في الماضي فالرمز منتهي الصلاحية، وأي API محترم سيرفضه.

5. 5

   تحقّق من التوقيع (اختياري)

   إذا كان لديك السر أو المفتاح العام، ألصقه في أداة التحقق للتأكد من صحة التوقيع. محتويات الرمز جديرة بالثقة فقط حين ينجح التحقق من التوقيع.

claims القياسية في JWT

هذه هي الـ claims المسجَّلة المعرَّفة في مواصفة JWT (RFC 7519). يمكن لأي تطبيق إضافة claims مخصّصة بجانبها.

أمثلة JWT للتجربة

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

أخطاء شائعة عند استخدام JWT

• وضع كلمات المرور أو الأسرار أو البيانات الشخصية الحساسة داخل الـ payload. JWT قابل للقراءة وليس مشفّرًا.
• فكّ ترميز الرمز واعتباره صحيحًا دون التحقق من التوقيع.
• الخلط بين كون Base64URL سهل القراءة وبين التشفير الحقيقي — payload الـ JWT مكشوف عمدًا.

أسئلة شائعة عن JWT