أدوات JWT — فكّ التشفير والتحقق والتوقيع

ما هي أدوات JWT — فكّ التشفير والتحقق والتوقيع؟

أدوات JWT أداة مجانية متكاملة لرموز JSON Web Token تجمع بين فاكّ تشفير ومُحقِّق توقيع ومُوقِّع HS في مكان واحد. في وضع فكّ التشفير، تفكّ تشفير رمز header.payload.signature بصيغة base64url وتعرض الترويسة والحمولة كـ JSON منسّق. في وضع التحقق، تقرأ الحقل alg من ترويسة الرمز وتتحقق من التوقيع عبر واجهة Web Crypto API: سرّ HMAC مشترك لـ HS256 وHS384 وHS512، أو مفتاح عام بصيغة PEM لـ RS256/RS384/RS512 ‏(RSASSA-PKCS1-v1_5) وES256/ES384/ES512 ‏(ECDSA). في وضع التوقيع، تبني رمزًا جديدًا تمامًا وتوقّعه بـ HMAC انطلاقًا من ترويسة JSON وحمولة JSON وخوارزمية HS مختارة وسرّ. صُمِّمت لمهندسي الواجهة الخلفية والأمامية، ومختبري ضمان الجودة، ومتكاملي واجهات API الذين ينقّحون المصادقة وجلسات OAuth/OIDC وانتهاء صلاحية الرموز دون لصق الأسرار في خدمة بعيدة.

كيفية استخدام أدوات JWT — فكّ التشفير والتحقق والتوقيع

1. اختر وضعًا في الأعلى: فكّ التشفير، أو التحقق، أو التوقيع.
2. فكّ التشفير: الصق رمز JWT ‏(header.payload.signature) في خانة الرمز واقرأ الترويسة والحمولة المنسّقتين بالأسفل — لا يُجرى أي فحص للتوقيع هنا.
3. التحقق: الصق الرمز، ثم الصق سرّ HMAC ‏(لخوارزميات HS) أو المفتاح العام بصيغة PEM ‏(لـ RS/ES) في خانة المفتاح؛ تقرأ الأداة الحقل alg من الترويسة وتعرض نتيجة خضراء 'صالح' أو حمراء 'غير صالح'.
4. التوقيع: أدخل ترويسة JSON وحمولة JSON، واختر HS256 أو HS384 أو HS512، واكتب سرّك، وانسخ الرمز الموقّع الذي يظهر.
5. استخدم زرّ النسخ في أي مخرجات، أو زرّ المسح لإعادة ضبط مدخل فكّ التشفير.

أمثلة

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0In0.sig

Header:
{
  "alg": "HS256",
  "typ": "JWT"
}
Payload:
{
  "sub": "1234"
}

token: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.<sig>
secret: your-256-bit-secret

valid (HS256)

header: {}
payload: { "sub": "1234567890", "name": "Jane Doe" }
secret: your-256-bit-secret

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphbmUgRG9lIn0.<signature>

الأسئلة الشائعة

هل تُرفَع رموزي وأسراري ومفاتيحي إلى أي مكان؟

لا. تعمل جميع الأوضاع بالكامل من جهة العميل في متصفّحك باستخدام واجهة Web Crypto API المدمجة ‏(crypto.subtle) لـ HMAC والتحقق من التوقيع، إضافةً إلى base64url وJSON في JavaScript. لا شيء — لا الرمز ولا السرّ ولا مفتاح PEM — يُرسَل إطلاقًا إلى أي خادم، ما يجعل التعامل مع بيانات اعتماد الإنتاج آمنًا.

ما الخوارزميات التي يمكنه التحقق منها؟

يدعم التحقق خوارزميات HS256 وHS384 وHS512 بسرّ HMAC مشترك، وRS256/RS384/RS512 ‏(RSASSA-PKCS1-v1_5) وES256/ES384/ES512 ‏(ECDSA) بمفتاح عام بصيغة PEM. يقرأ الحقل alg من ترويسة الرمز تلقائيًا، فلا تحتاج إلا إلى تقديم السرّ أو المفتاح العام المطابق.

بأي خوارزميات يمكنه التوقيع؟

ينشئ وضع التوقيع رموزًا موقّعة بـ HMAC فقط — HS256 أو HS384 أو HS512 — من ترويسة JSON وحمولة JSON وسرّ. يتطلّب التوقيع بـ RSA وECDSA مفتاحًا خاصًا وهو خارج نطاق هذه الأداة؛ أما RS/ES فلا يزال بإمكانك التحقق منها بالمفتاح العام المطابق في وضع التحقق.

هل يفحص وضع فكّ التشفير التوقيع؟

لا. يكتفي فكّ التشفير بفكّ ترميز base64url وعرض الترويسة والحمولة بتنسيق مرتّب — ولا يتحقق من التوقيع أبدًا. انتقل إلى وضع التحقق وقدّم سرًّا أو مفتاحًا عامًا لتأكيد أصالة الرمز، ولا تثق أبدًا بحمولة مفكوكة قبل التحقق من توقيعها.

لماذا يقول التحقق غير صالح أو خطأ؟

'غير صالح' يعني أن التوقيع لم يطابق السرّ أو المفتاح الذي قدّمته. أما 'خطأ' فيعني أنه تعذّر معالجة المدخل — مثلًا أن الرمز يفتقر إلى مقطع التوقيع، أو أن الـ alg غير مدعوم، أو تعذّر تحليل المفتاح العام بصيغة PEM. تأكّد من أنك لصقت الرمز كاملًا والمفتاح الصحيح المناسب لخوارزميته.