مُفكِّك ترميز JWT

JSON Web Token هو ثلاثة أجزاء مُرمَّزة بـBase64URL متصلة بنقاط: ترويسة تصف خوارزمية التوقيع ونوع الرمز، حمولة تحتوي الادعاءات الفعلية — من يُعرِّف الرمز، متى تنتهي صلاحيته، أي أذونات يمنحها — وتوقيع محسوب على الجزأين الأولين باستخدام سر أو مفتاح خاص. فك الترميز، وهو ما تفعله هذه الأداة، يعني فك ترميز Base64URL للجزأين الأولين مرة أخرى إلى JSON قابل للقراءة؛ لا يقول شيئًا عن الجزء الثالث بخلاف كشف قيمته المُرمَّزة الخام، لأن التحقق من ذلك التوقيع يتطلب سر التوقيع الفعلي، الذي لا ينبغي لأداة قائمة على متصفح أن تطلب منك لصقه أبدًا.

هذا التمييز — فك الترميز مقابل التحقق — هو الشيء الوحيد الأهم لفهمه حول أداة تصحيح JWT. فك الترميز يخبرك بما *يدَّعيه* رمز؛ التحقق يخبرك ما إذا كانت تلك الادعاءات يمكن *الوثوق بها*، مؤكدًا أن التوقيع أُنتج بواسطة المُصدِر المتوقَّع. يمكن لرمز أن يُفكَّك ترميزه بشكل مثالي ويُظهر حمولة تدَّعي وصول مسؤول بينما هي مُزوَّرة تمامًا، إذا لم يتحقق شيء أبدًا من التوقيع مقابل مفتاح التوقيع الفعلي.

الترويسة والحمولة مُرمَّزتان، لا مُشفَّرتان — Base64URL تحويل قابل للعكس دون أي سر متضمَّن، لذا يمكن لأي شخص يحصل على رمز، سواء باعتراض حركة شبكة، قراءة تخزين المتصفح، أو استقباله مباشرة، فك ترميز الحمولة وقراءة كل ادعاء بداخلها دون الحاجة لأي مفتاح على الإطلاق. هذا بالضبط سبب النصيحة القياسية بإبقاء حمولات JWT مقصورة على معرِّفات وادعاءات غير حساسة — معرِّف مستخدم، دور، وقت انتهاء صلاحية — وعدم وضع كلمة مرور أو رقم بطاقة ائتمان أو بيانات سرية أخرى مباشرة داخل الرمز، لأن صيغة الرمز لا توفر أي سرية بمفردها.

تُخزَّن ادعاءات الطوابع الزمنية القياسية كوقت Unix — عدد صحيح بسيط يعد الثواني منذ 1 يناير 1970 — وهذا فعّال لمقارنة الآلات لكنه غير قابل للقراءة من نظرة واحدة لشخص يُصحِّح رمزًا بعينه. تحويل `1735689600` إلى "1 يناير 2025، 00:00:00 UTC" يدويًا بالضبط نوع الحساب الصغير المعرَّض للخطأ الذي يسهل الخطأ فيه تحت ضغط الوقت، خاصة بين المناطق الزمنية. عرض الادعاءات الثلاثة كتواريخ محلية حقيقية، وذكر مباشرة ما إذا كان الرمز منتهي الصلاحية حاليًا، أو صالحًا، أو لم يُفعَّل بعد، يحوِّل جلسة تصحيح كانت ستتضمن حسابًا ثانويًا إلى إجابة فورية وقابلة للقراءة.