أداة فك ترميز JWT

رمز JSON Web Token (المعرَّف JWT، المحدَّد في RFC 7519) هو طريقة مدمجة وآمنة للروابط لتمثيل مجموعة من المطالبات (claims) حول مستخدم، مع إثبات تشفيري بأن تلك المطالبات لم تُعبَث بها. تشغّل رموز JWT المصادقة في معظم حِزم تقنيات الويب الحديثة: عند تسجيل الدخول، يُنشئ الخادم رمز JWT يحتوي على معرّف المستخدم وصلاحياته، ويوقّعه بمفتاح سري، ويعيده إليك. يخزّن متصفحك الرمز (عادةً في localStorage أو في ملف تعريف ارتباط) ويضمّنه في ترويسة Authorization مع كل طلب لاحق. يتحقق الخادم من التوقيع في كل طلب: إذا كان صالحًا، يُوثَق بمطالبات الرمز؛ وإذا عُبث به، ينكسر التوقيع ويُرفض الطلب. تتكوّن رموز JWT من ثلاثة أجزاء مرمَّزة بـ Base64URL ومفصولة بنقاط: الترويسة تعلن عن خوارزمية التوقيع (HS256 لـ HMAC-SHA256، وRS256 لـ RSA، وES256 لـ ECDSA، وnone للرموز غير الموقّعة، وهو أمر خطير وينبغي أن ترفضها)؛ والحمولة (payload) تحتوي على المطالبات الفعلية (مطالبات قياسية مثل 'sub' للموضوع، و'exp' لمدة الصلاحية، و'iat' لتاريخ الإصدار، إضافة إلى أي مطالبات مخصصة يعرّفها تطبيقك)؛ والتوقيع هو الإثبات بأن الترويسة والحمولة وُقّعتا من قِبل شخص يمتلك السر. تكشف هذه الأداة الجزأين الأولين، وهما معلومات عامة؛ أما التوقيع فلا يمكن التحقق منه إلا بالمفتاح، وهذا هو السبب في أن كل أداة فك ترميز لـ JWT تعرض المطالبات دون التحقق منها.