فكّ تشفير JWT

لا. تفكّ الأداة ترميز base64url لقسمَي الترويسة والحمولة فحسب لعرض محتوياتهما كـ JSON. التحقق من التوقيع يتطلب مفتاح السر أو المفتاح العام للجهة المُصدِرة الذي لا يجب لصقه هنا. حمولة تبدو صحيحة يمكن أن يكون توقيعها غير صالح؛ تحقق دائمًا من التوقيع من جانب الخادم باستخدام مكتبة JWT موثوقة.

لا. الفك ثلاث استدعاءات لـ atob أو TextDecoder على البايتات الخام تعمل بالكامل في محرك JavaScript للمتصفح. لا شيء تلصقه هنا يغادر تبويب متصفحك. هذه الطريقة الوحيدة الآمنة لفحص JWT يحتوي على ادعاءات مستخدم خاصة: محلية بالكامل دون طلب شبكة.

يتكون JWT من ثلاثة أجزاء مُشفَّرة بـ base64url مفصولة بنقاط. تُحدد الترويسة الخوارزمية المستخدمة لتوقيع الرمز مثل HS256 أو RS256. تحتوي الحمولة على الادعاءات: حقائق عن الموضوع وبيانات وصفية إضافية كوقت الانتهاء والجهة المُصدِرة والجمهور والادعاءات المخصصة. التوقيع قيمة مشفَّرة محسوبة من الترويسة والحمولة باستخدام مفتاح الجهة المُصدِرة؛ وهو ما يُمكّن المستقبِل من التحقق من عدم التلاعب بالرمز.

ادعاء 'exp' هو وقت انتهاء الرمز مُعبَّرًا عنه كطابع زمني Unix وهو أعداد صحيحة من الثواني منذ 1 يناير 1970 UTC. إذا كان الوقت الحالي أكبر من 'exp' فالرمز منتهٍ ويجب رفضه من قِبَل أي خادم يتحقق منه. تعرض هذه الأداة القيمة الرقمية الخام؛ يمكنك تحويلها باستخدام أداة الطوابع الزمنية على هذا الموقع. شارة منتهٍ/صالح تقارن ذلك الرقم بساعة جهازك أنت، لذا فالجهاز الذي يحمل وقتًا خاطئًا سيحكم على الرمز خطأً أيضًا. إنها مجرد إشارة، لا بديل أبدًا عن الخادم الذي يتحقق فعليًا من التوقيع.

لا. الرموز المعتمة أحيانًا تُسمى رموزًا مرجعية وهي سلاسل عشوائية لا تحمل بيانات المستخدم بأنفسها؛ يجب إرسالها إلى نقطة نهاية الفحص الخاصة بالجهة المُصدِرة لاسترداد الادعاءات المرتبطة. تعمل هذه الأداة فقط مع JWT ذاتية الحمولة بالتنسيق القياسي المكوّن من ثلاثة أجزاء.