محلل JWT
فك تشفير JWT وفحصها مع التحقق الفوري. اعرض معلومات الرأس والحمولة والتوقيع بأمان في متصفحك.
التعريف: JSON Web Token ثلاثة أجزاء مرمَّزة بـ Base64URL — الترويسة والحِمل والتوقيع — تربطها نقاط. تسمّي الترويسة خوارزمية التوقيع، ويُتحقَّق من التوقيع بمفتاح تلك الخوارزمية وفق RFC 7519.
الرأس
الحمل
التوقيع
الخوارزمية
رمز غير صالح
كيفية استخدام محلل JWT
الصق الرمز
Paste your JWT token in the input area
فك ترميز تلقائي
Token automatically decodes on paste
فحص الأجزاء
View header, payload, and signature data
تحقق من الحالة
تحقق من صلاحية الرمز ووقت انتهائه
فهم رموز JWT
ما هو JWT؟
JSON Web Token (JWT) وسيلة مضغوطة وآمنة لعناوين URL لتمثيل Claims التي تُنقل بين طرفين. يتكون من ثلاثة أجزاء — الترويسة والحمولة والتوقيع — تفصلها نقاط ومرمّزة بصيغة base64url.
- • Header: Contains token type and signing algorithm
- • Payload: Contains claims or user data
- • Signature: Verifies token wasn't tampered with
- • Stateless: No server-side session storage needed
لماذا تحليل رموز JWT؟
تحليل JWT ضروري لتصحيح مشكلات المصادقة، والتحقق من محتوى الرموز، وفحص أوقات انتهاء الصلاحية، وفهم البيانات التي تُنقل في الرموز.
- • Debugging: Inspect token contents during development
- • Security: Verify token structure and claims
- • Expiration: Check token validity period
- • Development: Understand authentication flow
مرجع ادعاءات JWT القياسية
أسماء الادعاءات المعرفة وفق RFC 7519 والتي ستراها في كل حمولة رمز تقريبًا.
| الادعاء | الاسم الكامل | المعنى |
|---|---|---|
| iss | المُصدر | من أنشأ الرمز ووقّعه |
| sub | الموضوع | عن من يكون الرمز — عادةً معرف المستخدم |
| aud | الجمهور | لمن هو الرمز الموجه (عميل أو API) |
| exp | الانتهاء | طابع Unix الذي يجب رفض الرمز بعده |
| nbf | ليس قبل | طابع Unix الذي يكون الرمز قبله غير صالح |
| iat | تاريخ الإصدار | طابع Unix لوقت إنشاء الرمز |
| jti | معرف JWT | معرّف فريد، مفيد لقوائم الإبطال |
خوارزميات JWT الشائعة
- • HS256 (HMAC + SHA-256): متماثل — سر واحد مشترك يوقّع ويتحقق. بسيط، لكن أي شخص يملك السر يمكنه تزوير الرموز.
- • RS256 (RSA + SHA-256): غير متماثل — المفتاح الخاص يوقّع، والمفتاح العام يتحقق. الخيار القياسي للأنظمة الموزعة.
- • ES256 (ECDSA + SHA-256): غير متماثل مثل RS256 لكن بتوقيعات أقصر بكثير — خيار افتراضي حديث جيد.
- • لا شيء: رمز غير موقّع. يجب رفضه من أي مدقق جاد؛ تاريخيًا كان مصدرًا لثغرات تجاوز حرجة.
ملاحظات السلامة
- • لا تلصق رموز الإنتاج أبدًا في أدوات غير معروفة. يعمل هذا المحلل بالكامل في متصفحك (تحقق: يعمل دون اتصال)، لكن هذا ليس صحيحًا في كل موقع.
- • رمز JWT غير مشفّر. الحمولة مرمّزة فقط بصيغة base64url — أي شخص يملك الرمز يمكنه قراءتها. لا تخزن الأسرار في الادعاءات أبدًا.
- • فك الترميز ليس تحققًا. البنية التي تبدو صحيحة لا تقول شيئًا عن التوقيع. التحقق يتطلب المفتاح، وهو لا يغادر خادم المصادقة لديك أبدًا.
- • تحقق من exp على الخادم. رفض الرموز منتهية الصلاحية هو مسؤولية المدقق، وليس العميل.
متى يستخدم المطورون محلل JWT
تصحيح استجابات 401 و403
تحقق مما إذا كان الرمز قد حمل فعلًا النطاقات أو الأدوار أو مدة الانتهاء المتوقعة قبل لوم الخادم.
فحص رموز OAuth و OIDC
فك ترميز id_token أو access_token وتأكد من أن iss وaud وsub تطابق إعدادات تطبيقك.
الدعم واستكشاف الأخطاء وإصلاحها
تحقق من لقطة شاشة من Claims التي تلقاها المستخدم فعلًا، دون إعداد أي أدوات محلية.
تعلُّم كيفية عمل رموز JWT
الصق رموزًا نموذجية وشاهد كيف تتلاءم الترويسة والحمولة والتوقيع معًا.
فك ترميز فوري
فك ترميز JWT تلقائيًا عند اللصق، مع أقسام مرمّزة بالألوان.
100% خاص
تتم جميع عملية فك الترميز في متصفحك. الرموز لا تغادر جهازك أبدًا.
مجاني بالكامل
بدون تسجيل أو حدود. حلّل رموز JWT بحرية في أي وقت.
الأسئلة الشائعة عن محلل JWT
هل من الآمن لصق رمز JWT في هذه الأداة؟
نعم. يعمل فك الترميز بالكامل في متصفحك دون أي اتصالات شبكية — يمكنك التحقق من ذلك بقطع الاتصال بالإنترنت وإعادة تحميل الصفحة. ومع ذلك، تجنب لصق رموز الإنتاج في أي مكان كإجراء وقائي عام.
هل يعني تحليل JWT التحقق من توقيعه؟
لا. التحليل يقتصر على فك ترميز base64url للرأس والحمولة. التحقق من التوقيع يتطلب مفتاح التوقيع (سر HMAC أو المفتاح العام)، وهو ما يملكه خادم المصادقة لديك وحده.
لماذا يمكن لأي شخص قراءة حمولة JWT الخاصة بي؟
حمولات JWT مرمّزة وليست مشفّرة. أي شخص يملك الرمز يمكنه فك ترميز الادعاءات وقراءتها — هذا أمر مقصود في التصميم. لا تخزن الأسرار أو البيانات الحساسة داخل حمولة JWT أبدًا.
كيف أعرف متى تنتهي صلاحية الرمز؟
تحقق من الادعاء exp — طابع Unix الذي يجب رفض الرمز بعده. يُبرز هذا المحلل حالة الرمز (نشط، منتهي الصلاحية، أو غير صالح بعد) استنادًا إلى exp و nbf تلقائيًا.
ما الفرق بين HS256 و RS256؟
HS256 متناظر: سر مشترك واحد يوقّع ويتحقق في آن واحد، لذا أي جهة قادرة على التحقق من الرموز قادرة أيضًا على تزويرها. أما RS256 فغير متناظر: مفتاح خاص يوقّع ومفتاح عام يتحقق، وهذا أكثر أمانًا عندما يجب أن تتحقق خدمات متعددة من الرموز. فضّل RS256 أو ES256 ما لم يكن لديك سبب محدد لعدم ذلك.
يقول ترويسة الرمز الخاص بي "alg": "none" — هل هذه مشكلة؟
يعني ذلك أن الرمز غير موقّع. هذه بنية JWT صالحة، لكن على المدقق ألا يقبلها أبدًا: الثغرة الكلاسيكية في JWT كانت مهاجمين يضبطون alg على none لتجاوز فحوص التوقيع. إذا قبلت خدمتك الخلفية رموزًا غير موقّعة، فاعتبر ذلك خطأ أمنيًا.
عزّز إنتاجيتك مع أدوات تحليل وتنسيق النص