مدقق توقيع JWT

ما هو مدقق JWT؟

تتحقق هذه الأداة من أن رمز JSON Web Token وُقِّع بالمفتاح الذي تقدمه ولم يُعدَّل، وأن مطالبات الوقت فيه صالحة الآن. تقبل سراً مشتركاً لـ HS256/384/512 أو مفتاحاً عاماً PEM أو شهادة X.509 أو JWK أو JWKS لرموز RS وPS وES وEdDSA، مع فحص اختياري للمُصدِر والجمهور وهامش تسامح للساعة.

كيفية استخدام مدقق JWT

1. الصق الرمز؛ وتُعرض الخوارزمية من ترويسته.
2. أدخل السر (HS*) أو المفتاح العام أو الشهادة أو JWK أو JWKS.
3. اضبط اختيارياً هامش الساعة والمُصدِر المتوقع والجمهور المتوقع، أو فعّل «Check the signature only».
4. اضغط Verify واقرأ النتيجة؛ وعند النجاح تُعرض الحمولة ومطالبات الوقت.

مثال

The jwt.io sample token (HS256) with secret your-256-bit-secret

✓ Signature verified with HS256 and the time claims are valid.

مع السر wrong-secret تكون النتيجة: Signature verification failed.

متى تستخدم مدقق JWT

استخدمه لتأكيد أن خادماً متوقعاً أصدر الرمز أو لتشخيص أخطاء «invalid signature» أو اختبار تدوير المفاتيح. دون المفتاح الصحيح لا تستطيع أي أداة التحقق من JWT. تجنب لصق أسرار الإنتاج في أي موقع؛ وفضّل المفتاح العام الذي يمكن مشاركته بأمان.

كيف يعمل مدقق JWT

يعمل التحقق محلياً بمكتبة jose وWeb Crypto. لا تُسمح إلا بالخوارزمية المذكورة في ترويسة الرمز، ويُرفض alg بقيمة «none» دائماً. تُفحص رموز HMAC ببايتات UTF-8 للسر (أو المفكوكة من Base64)؛ والرموز غير المتماثلة بمفتاح SPKI أو X.509 أو JWK مستورد أو JWKS محلي (مطابقة بـ kid). بعد التوقيع تُقارن exp وnbf بساعة جهازك (مع التسامح)، وتُقارن iss/aud إن أدخلتهما. ويُبلَّغ عن كل إخفاق بسبب محدد.

حالات الاستخدام الشائعة

• ✓ معرفة هل وُقِّع الرمز بالمفتاح الحالي أو القديم بعد التدوير.
• ✓ تشخيص سبب رفض بوابة للرموز (منتهي أو جمهور خاطئ أو توقيع سيئ).
• ✓ التحقق من رمز OpenID Connect ID مقابل JWKS للمزوّد.
• ✓ التأكد من عدم العبث بالرمز.

الأسئلة الشائعة

الخطوات التالية المقترحة

استكشف المزيد من الفئات