فك ترميز JWT

حول فك ترميز JWT

أداة فك ترميز JWT أداة مجانية عبر الإنترنت تفك ترميز أي رمز JSON Web Token فورًا إلى أجزائه الثلاثة: الترويسة (Header) والحمولة (Payload) والتوقيع (Signature). تُعد رموز JSON Web Token (JWT) معيارًا مفتوحًا (RFC 7519) يُستخدم لنقل المعلومات بأمان بين الأطراف في صورة كائنات JSON مدمجة ومكتفية ذاتيًا. وهي أساس المصادقة والتفويض الحديثين في تطبيقات الويب وواجهات API والخدمات المصغرة.

يتكون كل JWT من ثلاثة أجزاء مرمّزة بصيغة Base64URL ومفصولة بنقاط. تحدد الترويسة خوارزمية التوقيع (مثل HS256 أو RS256) ونوع الرمز. وتحتوي الحمولة على المطالبات (claims)، وهي أزواج مفتاح وقيمة تحمل بيانات المستخدم والأذونات وأوقات انتهاء الصلاحية وبيانات وصفية أخرى. ويضمن التوقيع أن الرمز لم يُعبث به، ولا يمكن التحقق منه إلا بالمفتاح السري أو المفتاح العام الصحيح.

تفك هذه الأداة ترميز JWT بالكامل داخل متصفحك دون أي رحلة إلى خادم، لذا لا تُرسل رموزك ولا تُخزَّن خارج جهازك. كما تتحقق من حالة انتهاء الصلاحية، وتحوّل الطوابع الزمنية إلى تواريخ مقروءة، وتقدم شرحًا لـالمطالبات المسجّلة القياسية مثل iss وsub وaud وexp وiat وnbf.

الميزات الرئيسية

• فك ترميز أي JWT فورًا إلى أقسام الترويسة والحمولة والتوقيع
• فحص تلقائي لانتهاء الصلاحية مع شريط حالة واضح: «Token Not Expired» أو «Token Not Yet Active» أو «Token Expired»
• تنسيق مقروء للطوابع الزمنية بصيغة Unix (exp وiat وnbf) مع عرض المنطقة الزمنية
• شرح لجميع المطالبات المسجّلة القياسية (iss وsub وaud وexp وnbf وiat وjti)
• أزرار نسخ بنقرة واحدة للترويسة والحمولة والتوقيع كلٌّ على حدة
• فك ترميز فوري أثناء الكتابة أو اللصق مع تأخير مدروس للإدخال
• أقسام ملوّنة: الأزرق للترويسة والبنفسجي للحمولة والبرتقالي للتوقيع
• شارة الخوارزمية (HS256 وRS256 وES256 وغيرها) تظهر بوضوح في شريط الحالة
• رمز نموذجي للاختبار السريع والعرض التوضيحي
• معالجة بنسبة 100% على جهازك دون إرسال أي بيانات إلى أي خادم

طريقة الاستخدام

1. الصق رمز JWT: انسخ رمز JSON Web Token من تطبيقك أو استجابة API أو أدوات المطور في المتصفح أو نظام المصادقة، والصقه في حقل الإدخال.
2. اعرض الأقسام المفكوكة: تقسّم الأداة الرمز فورًا إلى الترويسة والحمولة والتوقيع، وتعرض كلًّا منها في لوحة منسقة وملونة.
3. تحقق من انتهاء الصلاحية: يوضح شريط الحالة في الأعلى ما إذا كان الرمز ما يزال صالحًا أم انتهت صلاحيته، مع تاريخ الانتهاء الدقيق والعد التنازلي.
4. اقرأ شرح المطالبات: تأتي المطالبات المسجّلة القياسية مثل iss وsub وexp وiat مع أوصاف توضح معنى كل حقل.
5. انسخ الأقسام: استخدم زر النسخ في أي قسم لنسخ JSON المنسق إلى الحافظة لاستخدامه في التوثيق أو تصحيح الأخطاء.
6. جرّب نموذجًا: انقر على الزر «Sample Token» لتحميل JWT جاهز وشاهد كيف يعمل المفكّك قبل لصق رموزك.

حالات الاستخدام

• تصحيح أخطاء المصادقة: افحص بسرعة رموز JWT التي يعيدها خادم المصادقة للتحقق من ضبط المطالبات والأدوار والأذونات بشكل صحيح.
• تطوير API: فك ترميز رموز الوصول أثناء تكامل API للتأكد من أن الحمولة تحتوي على معرّف المستخدم والنطاقات ووقت الانتهاء المتوقعة.
• تدقيق الأمان: افحص الرموز بحثًا عن تسرب بيانات حساسة، أو خوارزميات ضعيفة (مثل «none»)، أو فترات انتهاء صلاحية طويلة أكثر من اللازم.
• التعلم والتعليم: افهم بنية JWT عبر فك ترميز رموز نموذجية وقراءة أوصاف المطالبات التوضيحية التي توفرها الأداة.
• استكشاف أخطاء انتهاء صلاحية الرموز: حدد ما إذا كان فشل المصادقة ناتجًا عن رموز منتهية الصلاحية بمقارنة المطالبة exp بالوقت الحالي.
• تصحيح أخطاء الخدمات المصغرة: افحص الرموز المتداولة بين الخدمات للتأكد من أن الخدمات الأولية تصدر رموز JWT ببنية صحيحة ومطالبات سليمة.
• التحقق من تدفق OAuth: فك ترميز رموز الهوية ورموز الوصول من تدفقات OAuth 2.0 وOpenID Connect للتحقق من قيم الجهة المصدرة والجمهور والنطاق.
• التوثيق: انسخ JSON الخاص بالترويسة والحمولة المفكوكتين إلى توثيق API أو أدلة التشغيل لتوضيح بنى الرموز المتوقعة.

الأسئلة الشائعة

نصائح وأفضل الممارسات

• اجعل الرموز قصيرة العمر: استخدم أوقات انتهاء صلاحية تتراوح بين 15 و60 دقيقة لرموز الوصول، واقرنها برموز تحديث آمنة من نوع HTTP-only لاستمرارية الجلسة.
• لا تخزّن الأسرار في الحمولة أبدًا: رموز JWT مرمّزة وليست مشفّرة. يستطيع أي شخص يملك الرمز فك ترميز الحمولة، لذا لا تضع فيها كلمات المرور أو أرقام بطاقات الائتمان أو أي بيانات حساسة أخرى.
• تحقق دائمًا على جهة الخادم: فك ترميز JWT في المتصفح مفيد لتصحيح الأخطاء، لكن تحقق دائمًا من التوقيع في الواجهة الخلفية قبل الوثوق بأي مطالبة.
• استخدم الخوارزميات غير المتماثلة في الأنظمة الموزعة: اختر RS256 أو ES256 عندما تحتاج عدة خدمات إلى التحقق من الرموز بشكل مستقل دون مشاركة مفتاح سري.
• راقب حجم الرمز: تزيد الحمولات الكبيرة حجم ترويسة الطلب وقد تبطئ استدعاءات API. أبقِ المطالبات في حدها الأدنى واستخدم مراجع (مثل معرّفات المستخدمين) بدلًا من تضمين ملفات المستخدمين كاملة.
• بدّل مفاتيح التوقيع بانتظام: طبّق استراتيجيات تدوير المفاتيح باستخدام معامل الترويسة kid (معرّف المفتاح) للانتقال بين مفاتيح التوقيع دون إبطال جميع الرموز الحالية.