فك رمز JWT

كيف يعمل

يتكوّن رمز JWT (JSON Web Token) من ثلاثة أجزاء تفصل بينها نقاط: header.payload.signature. أما الترويسة والحمولة فمرمَّزتان بصيغة Base64URL فحسب — دون تشفير — ما يعني أن بإمكان أي شخص الاطلاع على محتواهما دون مفتاح أو كلمة مرور. وهذا هو الاستخدام النموذجي لهذه الأداة: الصق رمز المصادقة الذي أعادته واجهة API لتتحقق بسرعة مما يحتويه فعلًا (تاريخ الانتهاء exp، ودور المستخدم، والمعرّف، وغير ذلك) أثناء تصحيح الأخطاء، دون كتابة أي شيفرة ودون إعداد خلفية (backend).

لماذا «يعمل» الرمز رغم أنني عدّلته يدويًا؟

لأن هذه الأداة لا تتحقق من التوقيع: فهي تكتفي بفك ترميز Base64URL للترويسة والحمولة، تمامًا كأي أداة فحص. أما الخادم المُهيّأ بشكل صحيح فسيعيد حساب التوقيع من المحتوى ويقارنه بالتوقيع الوارد في الرمز — وأي حمولة عُدّلت دون المفتاح السري الصحيح سيتم رفضها حينها، حتى لو فُكّ ترميزها هنا بشكل سليم.

ماذا يعني الحقل exp في الحمولة؟

الحقل exp («الانتهاء») هو طابع زمني بنظام Unix (ثوانٍ منذ عام 1970) يُعدّ الرمز بعده منتهي الصلاحية. وسيرفض الخادم الملتزم بمعيار JWT أي طلب يستخدم رمزًا تجاوز الوقت الحالي هذه القيمة، بغض النظر عن صلاحية توقيعه.

الخصوصية: يتم فك الترميز بالكامل داخل متصفحك عبر WebAssembly — ولا يغادر محتوى رموزك، حتى لو احتوت على بيانات حساسة، جهازك أبدًا.