فك تشفير JWT

يُعرَّف JWT في RFC 7519 (مايو 2015)، وتقترح الوثيقة نطقه مثل الكلمة الإنجليزية "jot". الصيغة الموقّعة الشائعة هي ثلاث سلاسل Base64url تفصل بينها نقاط: header.payload.signature. يحدد الترويسة (header) خوارزمية التوقيع في الحقل alg، مثل HS256 أو RS256، وغالبًا معرّف المفتاح في kid. وتحمل الحمولة (payload) المطالبات (claims)، وهي حقول JSON مثل sub (المستخدم) وiss (الجهة المصدِرة) وaud (الجمهور المقصود) وexp وnbf وiat، وهي أوقات بالثواني منذ 1 يناير 1970 بالتوقيت العالمي UTC. يحوّل المفكّك هذه القيم إلى توقيتك المحلي وإلى صيغة ISO 8601، ويخبرك هل انتهت صلاحية الرمز، أو أنه لم يصبح صالحًا بعد، أو أنه ضمن فترة صلاحيته.

Base64url ترميز وليس تشفيرًا، لذلك يستطيع أي شخص يملك الرمز قراءة حمولته تمامًا كما تفعل هذه الصفحة. لا تضع كلمات المرور أو أرقام البطاقات أو أي أسرار أخرى في المطالبات. الرمز المكوّن من خمسة أجزاء تفصل بينها نقاط هو JWE، أي رمز مشفّر؛ لا يمكن قراءة محتواه دون المفتاح، وتوضح الأداة ذلك. تُزال تلقائيًا كلمة "Bearer " في البداية إذا نسختها من ترويسة Authorization.

يثبت التوقيع أن الترويسة والحمولة أُنتجتا بواسطة من يملك المفتاح وأنهما لم تتغيرا منذ ذلك الحين. ويتطلب التحقق منه ذلك المفتاح: السر المشترك لخوارزميات HMAC مثل HS256، أو المفتاح العام للجهة المصدِرة لـ RS256 أو ES256 أو EdDSA. لصق سر توقيع خاص بالإنتاج في أي صفحة ويب فكرة سيئة، كما أن مفكّكًا يوحي بضمان الرمز دون المفتاح يعطي طمأنينة زائفة، لذلك تعرض هذه الأداة التوقيع لكنها لا تتحقق منه. تعامل مع ما تراه على أنه ادعاء يقدمه الرمز، لا على أنه حقيقة.

مكان التحقق هو خادمك، باستخدام مكتبة مُصانة مع تثبيت الخوارزمية المتوقعة. وهناك خطآن تاريخيان يفسران السبب: قبول alg بالقيمة "none"، مما يتيح لأي شخص تزوير رمز غير موقّع، وخلط الخوارزميات، حيث يُخدع خادم يتوقع RS256 فيفحص توقيع HS256 مستخدمًا المفتاح العام بوصفه سر HMAC. المفكّك مخصص لتصحيح الأخطاء: لمعرفة المطالبات التي يصدرها المزوّد، أو اكتشاف جمهور aud خاطئ، أو معرفة أن الجلسة فشلت لأن exp انقضى قبل دقيقة. ولقراءة مقاطع Base64url الخام استخدم مفكّك Base64.