مفكّك JWT
فكّ رمز JSON Web Token واقرأ ترويسته وحمولته ومطالباته بصيغة واضحة، مع فحص فوري لانتهاء صلاحيته. التفكيك يتم محلياً ولا يتم التحقق من التوقيع.
الصق رمز JSON Web Token واقرأ أجزاءه الثلاثة بصيغة مقروءة: الترويسة مع خوارزمية التوقيع، والحمولة مع المطالبات، والطوابع الزمنية المقروءة لوقت الإصدار ووقت أول صلاحية ووقت انتهاء الصلاحية. وتخبرك الأداة فوراً ما إذا كان الرمز قد انتهت صلاحيته ومتى ستنتهي.
وهذه هي خطوة التنقيح اليومية عندما يعيد API الرمز 401 وتحتاج إلى معرفة ما إذا كانت المشكلة في التوقيع أو في الجمهور المستهدف أو في رمز انتهت صلاحيته ببساطة. ويُفكّ ترميز كل شيء في متصفحك، فلا تُرسل رموز الإنتاج إلى أي مكان أبداً.
كيفية فكّ ترميز JSON Web Token
الصق الرمز
اقرأ الترويسة والحمولة ووقت الانتهاء
انسخ حمولة JSON إذا احتجت إليها
الأسئلة الشائعة
هل تتحقق الأداة من التوقيع؟
لا، وهذه نقطة مهمة. ففك الترميز لا يفعل شيئاً سوى فك ترميز base64url للأجزاء، فيصبح المحتوى مقروءاً دون إثبات أصالته. فلا تعتبر أي رمز مفكوك موثوقاً حتى يتحقق خادمك من التوقيع.
كيف أعرف أن الرمز انتهت صلاحيته؟
المطالبة exp هي طابع زمني بنظام Unix بالثواني، وتقارنها الأداة بالوقت الحالي، فتعرض التاريخ وما إذا كان الرمز ما زال صالحاً.
ما الفرق بين exp وiat وnbf؟
iat هو وقت إصدار الرمز، وnbf هو أبكر وقت يجوز فيه استخدامه، وexp هو وقت توقف صلاحيته. ولا يكون الرمز مقبولاً إلا بين nbf وexp.
هل من الآمن لصق رمز حقيقي هنا؟
يتم فك الترميز بالكامل في متصفحك، فلا يُرسل الرمز. ومع ذلك عامل أي رمز كبيانات اعتماد: لا تلصقه في موقع لا تثق به، وبدّله إذا احتمل تسرّبه.
لماذا يظهر رمزي رسالة خطأ؟
يتكوّن JWT من ثلاثة أجزاء تفصل بينها نقاط بالضبط. وغياب جزء أو وجود فاصل سطر في الوسط أو كون الرمز في الحقيقة معرّف جلسة غامضاً، كل ذلك يُبلَّغ عنه بأنه ليس JWT.
هل يُرفع الرمز الخاص بي؟
لا، فك الترميز يجري محلياً.
نظرة سريعة
| المدخل | نص |
|---|---|
| عدة ملفات | لا |
| مكان التشغيل | في متصفحك، ولا تُرفع الملفات أبداً |
| يعمل دون اتصال | نعم — بعد تحميل الصفحة |
| السعر | مجاني، بلا تسجيل وبلا علامة مائية |
التعامل مع الأسرار بأمان
تعالج أدوات المطوّرين بيانات الاعتماد أكثر مما يتصور الناس، والخطر ليس في الخوارزمية بل في المكان الذي تذهب إليه البيانات. فالتجزئة أحادية الاتجاه وليست تشفيراً، وMD5 وSHA-1 مكسورتان في كل ما يتصل بالأمن، وحتى SHA-256 أداة خاطئة لتخزين كلمات المرور، حيث وُجد bcrypt وscrypt وArgon2 تحديداً ليكونوا بطيئين. وBase64 ترميز لا حماية: أي أحد يستطيع فكّه، فلا تعامله أبداً كتمويه. وJWT يستطيع كل من يحمله أن يقرأه، ولذلك يجب ألا يحتوي حمولته على أسرار أبداً، وفكّ الرمز لا يتحقق من توقيعه، إذ يلزم للتحقق مفتاح. وكل ما في هذا الموقع يعمل محلياً في متصفحك، ولهذا السبب يستطيع التعامل مع الرموز وكلمات المرور بأمان.
أين تنكسر التحويلات بهدوء
معظم أخطاء التحويل لا تتعلق بالصياغة بل بالمعنى. فعمود من الرموز البريدية في ملف CSV يفقد أصفاره البادئة في اللحظة التي يخمّن فيها جدول البيانات أنه رقم؛ ومعرّف طويل يتجاوز دقة الفاصلة العائمة؛ والتواريخ يتغير معناها بحسب ما إذا كان اليوم أولاً أم الشهر أولاً. ومفاتيح JSON غير مرتبة أما المصفوفات فمرتبة، والأداة التي ترتب المفاتيح لا تغيّر شيئاً بينما التي ترتب المصفوفات تغيّر البيانات. وUnicode فخ آخر: فقد يصل النص بترميز UTF-8 أو UTF-16 أو مع علامة ترتيب البايتات، وفاكّ الترميز الذي يخمّن خطأً يحوّل المحارف المشكّلة إلى نص مشوّه. وقبل أن تثق بأي تحويل، افحص الصف الأول والأخير، وكل حقل فيه أصفار بادئة، وكل حقل يحتوي على علامات تنصيص أو فواصل أو أسطر جديدة.