فك ترميز JWT
الصق رمز JSON Web Token لقراءة محتواه، ومعرفة ما إذا كانت صلاحيته قد انتهت، والتحقق من توقيعه.
محفوظ على هذا الجهاز
يعمل داخل متصفحك. لا يُرفع أي شيء.
محفوظ
يتم فك الترميز والتحقق على هذا الجهاز. لا يُرسل الرمز إلى أي مكان أبدًا.
بعد فك الترميز
ستظهر هنا ترويسة الرمز وحمولته وتواريخه.
الترويسة (Header)
الحمولة (Payload)
المطالبات المسجّلة
التحقق من التوقيع (اختياري)
فك ترميز رمز أولًا. تحدد خوارزميته المفتاح المطلوب.
PEM (-----BEGIN PUBLIC KEY-----) أو JWK بصيغة JSON. لا تلصق مفتاحًا خاصًا أبدًا في موقع لا تثق به.
طريقة الاستخدام
-
الصق الرمز
الصق JWT من ترويسة Authorization أو من ملف تعريف ارتباط أو من سجلاتك. تُتجاهل كلمة «Bearer» في بدايته.
-
اقرأ المحتوى
تُعرض الترويسة والحمولة بصيغة JSON منسَّقة، مع تحويل exp وiat وnbf إلى تواريخ بمنطقتك الزمنية.
-
تحقّق عند الحاجة
أدخل السرّ المشترك أو الصق المفتاح العام لتأكيد التوقيع، دون أن يغادر الرمز جهازك.
الأسئلة الشائعة
هل من الآمن لصق رمز حقيقي هنا؟
يُفك ترميز الرمز ويُتحقق منه داخل متصفحك ولا يُرسل إلى أي خادم أبدًا. ومع ذلك، الرمز يشبه كلمة مرور مؤقتة: تجنّب مشاركته، وألغِه إن كُشف في مكان آخر.
هل يستطيع أي شخص قراءة محتوى JWT؟
نعم. رمز JWT الموقَّع القياسي مرمَّز بـ Base64url فقط وليس مشفّرًا، لذا يستطيع أي شخص يحمله قراءة الحمولة. ولا يثبت التوقيع إلا أن أحدًا لم يغيّره. لا تضع أسرارًا في حمولة JWT أبدًا.
لماذا يظهر أن صلاحية رمزي انتهت؟
تحمل المطالبة exp وقت انتهاء الصلاحية، بالثواني منذ 1 يناير 1970 (UTC). إذا مضت تلك اللحظة وفقًا لساعة جهازك، فقد انتهت صلاحية الرمز وينبغي أن ترفضه الخوادم.
ما التوقيعات التي يمكن التحقق منها؟
HMAC (HS256 وHS384 وHS512) بسرّ مشترك، وRSA (RS256–512 وPS256–512) والمنحنيات الإهليلجية (ES256 وES384 وES512) بمفتاح عام بصيغة PEM أو JWK. يستخدم التحقق واجهة Web Crypto المدمجة في متصفحك.
ماذا تعني iss وsub وaud؟
هي مطالبات قياسية: iss هي الجهة التي أصدرت الرمز، وsub هو من يتعلق به الرمز (غالبًا معرّف مستخدم)، وaud هي الجهة المقصودة به. أما الحقول الأخرى في الحمولة فخاصة بالتطبيق الذي أنشأ الرمز.