فك وقراءة توكن JWT
ترويسة التوكن وحمولته وصلاحيته، والتحقق من التوقيع بمفتاحك.
الصق التوكن ليُفك فورًا داخل متصفحك. لا يُرسل التوكن ولا المفتاح إلى أي خادم، وهذا مهم لأن التوكن يعمل عمل كلمة المرور حتى انتهاء صلاحيته.
عن الأداة
توكن JWT ثلاثة أجزاء بينها نقطتان: الترويسة التي تذكر الخوارزمية، والحمولة التي تحمل الحقول (من هو المستخدم، ومتى ينتهي)، والتوقيع. الجزءان الأولان مكتوبان بـ Base64url لا مشفَّرين، فأي أحد يقرأهما. لذلك لا تضع في الحمولة سرًا.
الحقول القياسية مشروحة في الجدول هنا: exp وقت الانتهاء، وiat وقت الإصدار، وnbf أول وقت يصلح فيه، وsub صاحب التوكن، وiss مصدره، وaud الجهة المقصودة. وأوقاتها مكتوبة بالثواني منذ 1970، وتعرضها الأداة بتوقيت جهازك مع المدة الباقية.
فك الترميز لا يعني التحقق: من يملك التوكن يستطيع تغيير الحمولة وإعادة ترميزها، والتوقيع وحده هو ما يكشف ذلك، والتحقق منه يحتاج المفتاح. لذلك لا تُعلن الأداة أن توكنًا «صحيح» إلا بعد أن تعطيها المفتاح السري لخوارزميات HS أو المفتاح العام لخوارزميات RS وES وPS.
أسئلة شائعة
هل إرسال التوكن إلى موقع لفكه آمن؟
ليس عادةً، لأن التوكن يعمل عمل كلمة المرور حتى ينتهي. هنا يجري كل شيء داخل متصفحك ولا يُرسل التوكن ولا المفتاح إلى أي خادم، لكن العادة السليمة أن تُبطل أي توكن إنتاج لصقته في أي أداة.
لماذا يقول الخادم إن توكني منتهٍ وهو جديد؟
غالبًا اختلاف الساعة بين جهازك وخادمك، أو اختلاف المنطقة الزمنية في الحساب. قيمة exp بالثواني منذ 1970 بتوقيت UTC دائمًا، ويجب ألا تعتمد على توقيت محلي.
ما خطر الخوارزمية none؟
توكن alg=none بلا توقيع أصلًا. مكتبات قديمة كانت تقبله فيغيّر المهاجم الحمولة كما يشاء. ارفض دائمًا أي توكن لا تطابق خوارزميته ما تتوقعه.