JWT Decoder - فك تشفير رمز ويب JSON عبر الإنترنت

الصق رمز JWT المُرمَّز (السلسلة الطويلة eyJ…) في صندوق الإدخال. تقسمه الأداة عند النقطتين، وتفك ترميز الترويسة والحمولة بـ Base64URL، وتعرض كود JSON لكل منهما إضافةً إلى مقطع التوقيع الخام — وكل ذلك دون إجراء أي طلب شبكي.

لا. يقوم أداة فك الترميز بتحليل الرمز فقط — فهو لا يتحقق من التوقيع مقابل مفتاح سري أو عام، لأن التحقق يتطلب مادة مفتاح الجهة المُصدِرة. استخدم مكتبة JWT على جانب الخادم للتحقق في بيئة الإنتاج؛ هذه الأداة مخصصة للفحص وتصحيح الأخطاء.

تحصل على الترويسة (الخوارزمية ومعرّف المفتاح)، ومطالبات الحمولة (sub وiss وaud وiat وexp وأي مطالبات مخصصة)، والتوقيع الخام. وتُنسَّق مطالبات الطوابع الزمنية القياسية كتواريخ مقروءة للإنسان بحيث يمكنك رصد الرموز المنتهية بلمحة واحدة.

إذا احتوت الحمولة على مطالبة "exp" القياسية، تقارنها الأداة بالوقت الحالي وتعرض إما "صالح حتى" أو "انتهت صلاحية الرمز في" مع الطابع الزمني الدقيق. أما الرموز التي لا تحتوي على مطالبة exp فيُبلَّغ عنها بأنها بلا تاريخ انتهاء.

يمكن لأي شخص يقرأ حمولة رمز JWT استخدامه حتى انتهاء صلاحيته، لذا فإن رموز الإنتاج تنتمي إلى الأدوات الخاصة. يعمل أداة فك التشفير هذه بالكامل داخل متصفحك ولا تنقل الرمز إطلاقًا، لكن القاعدة الأكثر أمانًا هي فك تشفير رموز التطوير قصيرة العمر كلما أمكن ذلك.

يتكوّن الـ JWT من ثلاثة أجزاء مُرمّزة بترميز Base64URL ومفصولة بنقاط: الترويسة (خوارزمية التوقيع)، والحمولة (المطالبات التي يريد المُصدر أن يثق بها المُتحقّق)، والتوقيع (رمز MAC أو توقيع رقمي على header.payload). فك الترميز لا يحتاج أبدًا إلى مفتاح — التحقّق وحده هو الذي يحتاجه.

رمز مدمج وآمن للاستخدام في URL يتكوّن من ثلاثة أجزاء بترميز Base64URL — الترويسة والحمولة والتوقيع — ويحمل ادعاءات موقّعة مثل معرّف المستخدم ووقت انتهاء الصلاحية. يُستخدم على نطاق واسع لجلسات تسجيل الدخول عديمة الحالة وتأمين طلبات API. الصق واحدًا في الأعلى لفحص ترويسته وحمولته.

أسفل الترويسة والحمولة المفكوكتين، الصق سرّ التوقيع (لـ HS256) أو المفتاح العام للمُصدِر بصيغة PEM أو JWK (لـ RS256 وES256 وما شابهها) في مربّع «التحقّق من التوقيع»، ثم انقر «تحقّق». وتُبيّن الشارة الظاهرة ما إذا كان التوقيع صالحًا أو غير صالح أو يستخدم خوارزمية لا يدعمها المدقّق في المتصفّح — وكل ذلك يُحسَب محليًا دون إرسال الرمز أو المفتاح إلى أي مكان.

بالنسبة لخوارزميات HMAC مثل HS256، تلصق سلسلة السر المشترك الخام. أما بالنسبة للخوارزميات غير المتماثلة مثل RS256 أو RS384 أو ES256، فتحتاج إلى المفتاح العام للمُصدر — لا المفتاح الخاص أبدًا — مقدَّمًا ككتلة PEM أو JWK؛ لصق النصف الخطأ من زوج مفاتيح غير متماثل سيجعل التحقق يفشل حتى لو كان الرمز صالحًا.

تدعم لوحة Verify signature كل خوارزميات JOSE الرئيسية: HS256/384/512 ‏(HMAC بسرّ مشترك)، و RS256/384/512 ‏(RSASSA-PKCS1-v1_5 بمفتاح RSA عام)، و PS256/384/512 ‏(RSA-PSS بمفتاح RSA عام)، و ES256/384/512 ‏(ECDSA على منحنى P-256/P-384/P-521 المطابق). أما الرموز الموقّعة بـ "none" أو أي خوارزمية خارج هذه القائمة فيُبلَّغ عنها دائمًا كغير مدعومة بدلًا من وسمها كصالحة، وهو ما يحميك أيضًا من حيلة التزوير الكلاسيكية alg=none.

السبب الأكثر شيوعًا هو لصق مسافة إضافية أو سطر جديد لاحق في مربّع السرّ — فالمُحقّق يجزّئ البايتات التي تدخلها بالضبط، لذا يكسر أثرٌ من النسخ واللصق التطابق. وتأكّد أيضًا من أنك تتحقق من الرمز الحالي: فإن أُعيد إصدار الـ JWT بعد نسخك له، أو كان سرّ المزوّد مشفّرًا بـ base64 بدلًا من سلسلة خام، فك تشفيره أولًا قبل لصقه.

انقر على Try sample JWT لتحميل رمز HS256 تجريبي يحتوي على مطالبات sub وname وiat وexp حتى ترى فك التشفير والتحقق من الانتهاء يعملان قبل لصق الرمز الخاص بك. وبمجرد وجود رمز في الحقل، يظهر بجانبه زر Clear يمسح المُدخل ويعيده فارغًا بنقرة واحدة.

لكل من لوحات الترويسة والحمولة والتوقيع زر نسخ خاص به في زاويته العلوية اليمنى ينسخ فقط JSON الخاص بذلك القسم (أو سلسلة التوقيع الخام) إلى الحافظة. يوجد أيضًا زر رئيسي لنسخ الحمولة أسفل اللوحات للحالة الأكثر شيوعًا وهي أخذ المطالبات فقط للصقها في مصحح أخطاء أو تقرير عن خلل.

انسخ القيمة الموجودة بعد 'Bearer ' في ترويسة Authorization — الجزء eyJ… هو رمز JWT نفسه — والصقه في أداة فك الترميز لرؤية الترويسة (header) ومطالبات المحتوى (payload) وحالة الانتهاء فورًا. إذا نسخت السلسلة كاملة 'Bearer eyJ…'، فاحذف بادئة 'Bearer ' أولاً حتى يتكون الرمز من ثلاثة أجزاء مفصولة بنقاط بالضبط.

لا — هذه أداة لفك التشفير والعرض، وليست محررًا لرموز JWT. فتغيير المحتوى (payload) يُبطل التوقيع، وبالتالي سيرفض أي خادم يتحقق من الرمز النسخة المعدَّلة. ولتغيير الادعاءات (claims) يجب إصدار رمز جديد موقّع بالمفتاح السري أو الخاص الصحيح. استخدم أداة فك التشفير لقراءة الرموز وتصحيح أخطائها، وليس لتعديلها.

لا — يعمل JWT Decoder بالكامل في متصفحك، لذا فإن ما تلصقه لا يغادر الجهاز الذي تستخدمه أبدًا. وهذا مهم إذا كنت تتحقق من شيء يحتوي على رمز مميز أو مفتاح أو بيانات العميل. إغلاق علامة التبويب يكفي لمسحها.

يشير الخطأ إلى الموضع الأول الذي لا يمكن تحليله، والذي عادة ما يكون بعد الخطأ الحقيقي مباشرة وليس عليه - فاصلة مفقودة، أو اقتباس أو قوس غير مغلق، أو اقتباس ذكي تم لصقه من مستند بدلاً من اقتباس مستقيم. تحقق من السطر الموجود أعلى الموضع المُبلغ عنه أولاً.

لا لكلاهما. JWT Decoder مجاني، والتنزيل الخاص بك لا يحمل أي علامة مائية، ولا يُطلب منك أي شيء في النهاية - ليس هناك أي معنى في التدفق حيث تنتهي من العمل ثم تكتشف أنه يكلف أموالاً.

لا — تعمل أداة «JWT Decoder» في المتصفح على الكمبيوتر والهاتف. لا يوجد شيء لتثبيته، ولا تجربة لبدئها، ولا ترخيص لشرائه قبل أن تعرف إن كانت تلبي احتياجك. جرّبها على الملف الذي تواجه مشكلة معه فعلًا بدلًا من ملف تجريبي.