مفكّك ترميز JWT
مفكّك ترميز JWT مجاني لقراءة أي JSON Web Token. الصق الرمز لترى ترويسته وحمولته وتوقيعه، مع شرح لكل مطالبة قياسية، وما إذا كان قد انتهى. يتم الفحص بالكامل داخل متصفحك، ولا يُرسل الرمز إلى أي مكان.
مفكّك ترميز JWT
الصق أدناه أي JSON Web Token. يُفكّ ترميزه داخل متصفحك أثناء الكتابة، ولا يُرفع شيء ولا يُحفظ.
الصق رمزًا أعلاه لفكّ ترميزه.
لم يُفكّ ترميز شيء بعد.
يُفكّ ترميز الرمز محليًا بواسطة JavaScript. لا يُرسل إلى أي خادم، ولا يُسجَّل، ولا يُحفظ أبدًا — ولا حتى في مخزن المتصفح.
المطالبات القياسية بشرح واضح
يجمع JSON Web Token ثلاثة أجزاء مُرمَّزة بـ Base64url في سلسلة واحدة: ترويسة تبيّن كيف وُقِّع، وحمولة تحمل مطالبات عن المستخدم والجلسة، وتوقيع. الجزءان الأولان مُرمَّزان لا مُشفَّران، لذا يمكن لأي شخص يملك الرمز قراءتهما. تُظهر لك هذه الأداة ما فيهما بالضبط.
أهم الفوائد
حالات استخدام شائعة
طريقة الاستخدام
- 1.الصق الرمز. الصق الرمز كاملًا مع النقطتين. تُحذف البادئة
Bearerتلقائيًا. - 2.اقرأ لوحة الحالة. تُظهر خوارزمية التوقيع، ومعرّف المفتاح إن وُجد، وما إذا كان الرمز قد انتهى.
- 3.راجع المطالبات. تظهر المطالبات القياسية أولًا، وقد حُوّلت طوابعها الزمنية إلى تواريخ حقيقية، ثم تأتي المطالبات المخصّصة.
- 4.انسخ ما تحتاجه. لكل من الترويسة والحمولة زرّ نسخ، للصقها في تذكرة أو اختبار.
المطالبات القياسية بشرح واضح
تحمل معظم الرموز حفنة من المطالبات المُسجَّلة. هذه أكثرها ظهورًا، وما تخدمه كل واحدة منها فعليًا.
أهم الميزات
- يفك ترميز الترويسة والحمولة والتوقيع كل على حدة
- يحوّل exp و nbf و iat إلى تواريخ مقروءة وأزمنة نسبية
- ينبّه إلى الرمز المنتهي، والرمز غير الصالح بعد، و alg: none
- يشرح كل مطالبة مُسجَّلة بجوار قيمتها
- أزرار نسخ للترويسة والحمولة بعد فكّ الترميز
- يعمل دون اتصال بعد تحميل الصفحة
- بلا حساب، وبلا رفع، وبلا تخزين
فكّ الترميز ليس تحققًا
هذه أهم نقطة ينبغي فهمها عن أي مفكّك ترميز JWT، وعن هذه الأداة أيضًا. فكّ الترميز يقرأ Base64url ويُظهر لك JSON، وهو لا يُثبت شيئًا عن صحة الرمز. يستطيع أي شخص صناعة رمز يقول "role":"admin" وسيُفكّ ترميزه هنا بلا مشكلة.
التحقق من التوقيع بمفتاح المُصدِر وحده هو ما يُثبت أن الرمز أصيل، ومكان ذلك خادمك لا تبويب متصفح أبدًا. اعتبر ما تراه هنا قراءة للتتبّع لا دليلًا. ولأن الحمولة مُرمَّزة فقط، لا تضع فيها أبدًا شيئًا سريًا: فـ JWT يقرؤه كل من يملكه. وللتفصيل الأطول — المطالبات التي تقف خلف معظم أخطاء 401، والتشويش على الخوارزميات، ولماذا لا يمكن إلغاء رمز JWT — اقرأ دليلنا لفكّ ترميز JSON Web Token وتتبّع أخطائه.
أسئلة شائعة
ما هو JWT؟⌄
JSON Web Token سلسلة موجزة آمنة للاستخدام في العناوين، تتكوّن من ثلاثة أجزاء مُرمَّزة بـ Base64url ويفصلها نقطتان: ترويسة تصف خوارزمية التوقيع، وحمولة من المطالبات، وتوقيع. ويُستخدم غالبًا كرمز وصول أو رمز هوية بعد تسجيل الدخول.
هل فكّ ترميز JWT هنا آمن؟⌄
يتم فكّ الترميز بالكامل داخل متصفحك بواسطة JavaScript. لا يُرسل الرمز إلى خوادمنا، ولا يُسجَّل، ولا يُكتب في مخزن المتصفح. مع ذلك يبقى الرمز بيانات اعتماد حيّة حتى ينتهي، فتعامل معه كأنه كلمة مرور في أي مكان تلصقه فيه.
هل يتحقق هذا من التوقيع؟⌄
لا، ولا ينبغي لأي أداة متصفح أن تفعل ذلك. فالتحقق يحتاج مفتاح المُصدِر السري أو العام، ومكانه خادمك. أما فكّ الترميز فيُظهر ما يقوله الرمز فقط، ولا يستطيع أن يخبرك إن كان أصيلًا أو قد تلاعب به أحد.
لماذا يظهر رمزي منتهيًا؟⌄
مطالبة exp طابع زمني Unix بالثواني، والرمز غير صالح من تلك اللحظة. وتحوّل لوحة الحالة ذلك إلى تاريخ حقيقي وتخبرك كم مضى عليه. ومن الأسباب الشائعة للانتهاء المفاجئ ساعة خادم غير مضبوطة.
هل أستطيع فكّ ترميز رمز بدون المفتاح السري؟⌄
نعم. الترويسة والحمولة مُرمَّزتان لا مُشفَّرتان، فيقرؤهما كل من يملك الرمز. والمفتاح السري لازم للتحقق من التوقيع فقط لا لقراءة المحتوى، ولهذا السبب تحديدًا لا يجوز وضع بيانات حسّاسة في الحمولة.