فك JWT
فك رمز JWT لقراءة الترويسة ومطالبات الحمولة والتوقيع، مع عرض exp وnbf وiat كتواريخ وحالة الانتهاء. يعمل محلياً ولا يُرفع شيء.
تتم إزالة البادئة "Bearer " تلقائيًا.
{
"alg": "HS256",
"typ": "JWT"
}{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}| الخوارزمية | HS256 |
|---|---|
| التوقيع | SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c |
ما هو فك JWT؟
يقسّم فاك JWT رمز JSON Web Token إلى الترويسة والحمولة والتوقيع ويعرض JSON منسقاً. تُحوَّل مطالبات الوقت (exp وnbf وiat) إلى تواريخ UTC مقروءة مع أوقات نسبية، وتخبرك شارة الحالة هل الرمز منتهي أو لم يبدأ بعد أو بلا انتهاء. هو يفك فقط ولا يتحقق من التوقيع.
كيفية استخدام فك JWT
- الصق الرمز (تُزال البادئة
Bearerتلقائياً). - اقرأ الترويسة المفكوكة (الخوارزمية والنوع ومعرّف المفتاح) ومطالبات الحمولة.
- راجع حالة الانتهاء وتواريخ exp/nbf/iat.
- استخدم JWT Verifier مع المفتاح الصحيح قبل الوثوق بأي مطالبة.
مثال
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Header {"alg": "HS256", "typ": "JWT"} · payload {"sub": "1234567890", "name": "John Doe", "iat": 1516239022} · status: no expiration متى تستخدم فك JWT
استخدمه لتشخيص المصادقة: معرفة المطالبات والنطاقات والجمهور أو الانتهاء الذي يحمله رمز. لا تعتبر المطالبات المفكوكة موثوقة، فيمكن لأي شخص إنشاء رمز بمحتوى عشوائي. أما الرموز المشفرة (JWE بخمسة أجزاء) فلا يمكن فكها دون المفتاح.
كيف يعمل فك JWT
يتكون JWS المدمج من ثلاثة أجزاء بترميز Base64URL تفصل بينها نقاط. يُفك الجزآن الأولان (Base64URL ← بايتات ← UTF-8) ويُحللان كـ JSON؛ ويُعرض الثالث كما هو لأنه بيانات توقيع ثنائية. مطالبات الوقت قيم NumericDate (ثوانٍ منذ 1970-01-01 UTC) وتُقارن بساعة جهازك. لا شيء يغادر متصفحك.
حالات الاستخدام الشائعة
- معرفة سبب إعادة API للرمز 401: هل الرمز منتهي أو لجمهور خاطئ؟
- قراءة الأدوار أو النطاقات داخل رمز وصول.
- فحص kid في الترويسة لمعرفة مفتاح التوقيع المستخدم.
- فحص رموز ID من مزوّد OpenID Connect.
ملاحظة أمنية
يتم الفك داخل متصفحك فقط. تعامل مع رموز JWT كأنها كلمات مرور: يستطيع أي حامل لرمز صالح استخدامه حتى ينتهي.
الأسئلة الشائعة
هل من الآمن لصق رمز إنتاج؟
يُفك الرمز محلياً ولا يُرسل إلى أي مكان. ومع ذلك فالرمز الصالح بيانات اعتماد، فألغِه إن شاركته في مكان لا تتحكم فيه.
لماذا الفك ليس تحققاً؟
الحمولة مرمّزة بـ Base64URL فقط وغير مشفرة. يتطلب التحقق فحص التوقيع بالسر أو المفتاح العام.
ماذا تعني exp وnbf وiat؟
exp وقت الانتهاء، وnbf «ليس قبل» (الرمز غير صالح قبله)، وiat وقت الإصدار، وكلها بالثواني منذ عهد يونكس.