عارض مطالبات JWT

خطوات الاستخدام

أدخل رمز JWT (JSON Web Token) كاملاً في حقل الإدخال. يتكون الرمز من ثلاثة أجزاء مفصولة بنقاط: الرأس (Header) والحمولة (Payload) والتوقيع (Signature). تأكد من نسخ الرمز بالكامل بدون أي مسافات إضافية.

سيقوم المحلل بتقسيم الرمز عند النقاط وفك تشفير الجزأين الأولين (الرأس والحمولة) من Base64url إلى نص JSON. الرأس يحتوي على نوع الرمز (typ) وخوارزمية التوقيع (alg). الحمولة تحتوي على المطالبات (claims) مثل المستخدم (sub) والصلاحيات (permissions) وتاريخ الانتهاء (exp).

عرض الرأس المُفكَّك: سترى بيانات مثل {"alg":"HS256","typ":"JWT"}. هذه المعلومات تحدد كيف تم توقيع الرمز. الخوارزميات الشائعة: HS256 (HMAC مع SHA-256) وRS256 (RSA مع SHA-256).

عرض الحمولة المُفكَّكة: سترى جميع المطالبات المضمنة. المطالبات القياسية (Registered Claims) مثل iss (المُصدر), sub (الموضوع), aud (الجمهور), exp (وقت الانتهاء), nbf (ليس قبل), iat (وقت الإصدار), jti (معرف الرمز). المطالبات الخاصة (Private Claims) قد تتضمن أدوار المستخدم أو صلاحيات محددة.

الأسئلة الشائعة

JWT (JSON Web Token) هو معيار مفتوح (RFC 7519) لنقل المعلومات بشكل آمن بين الأطراف ككائن JSON. يتم توقيعه رقمياً باستخدام خوارزمية (مثل HMAC أو RSA) لضمان سلامة البيانات وعدم التلاعب بها. يستخدم JWT بشكل شائع في المصادقة (Authentication) والتفويض (Authorization) في تطبيقات الويب والخدمات المصغرة. مبدأ العمل: بعد تسجيل الدخول، يقوم الخادم بإنشاء JWT يحتوي على بيانات المستخدم (مثل المعرف والأدوار) ويوقعه بمفتاح سري (secret key). يُرسل الرمز إلى العميل (المتصفح أو التطبيق) ثم يرسله العميل مع كل طلب لاحق. يتحقق الخادم من توقيع JWT لكل طلب ليقرر ما إذا كان الطلب مصرحاً به. مزايا JWT: - لا يحتاج إلى تخزين حالة الجلسة على الخادم (stateless)، مما يجعل التطبيق قابلاً للتوسع بسهولة. - محمول: يمكن استخدامه عبر نطاقات مختلفة. - غني بالمعلومات: يمكن تضمين بيانات مخصصة (مثل الصلاحيات) مباشرة في الرمز. عيوب JWT: - لا يمكن إلغاء الرمز قبل انتهاء صلاحيته (إلا باستخدام قائمة إلغاء). - حجم الرمز أكبر من رمز الجلسة التقليدي. - يجب حماية المفتاح السري جيداً. تستخدم JWT في أنظمة OAuth 2.0 و OpenID Connect وغيرها.

للتحقق من توقيع JWT، تحتاج إلى معرفة الخوارزمية المستخدمة (من الرأس) والمفتاح السري (لخوارزميات HMAC) أو المفتاح العام (لخوارزميات RSA). الخطوات العامة: 1. استخرج الأجزاء الثلاثة من الرمز. 2. أعد حساب التوقيع باستخدام الجزأين الأولين (الرأس والحمولة) والمفتاح وفقاً للخوارزمية المحددة. 3. قارن التوقيع المحسوب مع التوقيع الموجود في الرمز. أمثلة عملية: - لخوارزمية HS256: استخدم دالة HMAC SHA-256 مع المفتاح السري على النص (base64url(header) + '.' + base64url(payload)). يجب أن تكون النتيجة مطابقة للتوقيع. - لخوارزمية RS256: استخدم المفتاح العام مع SHA-256 للتحقق من التوقيع. ملاحظات أمنية: - لا تقم بفك تشفير التوقيع، بل قم بالتحقق منه. - استخدم مكتبات موثوقة مثل jsonwebtoken (Node.js) أو PyJWT (Python) للتحقق. - تأكد من أن خوارزمية الرأس متوافقة مع ما تتوقعه (هجمات خوارزمية غير متوقعة). أداة JWT Claim Viewer لا تتحقق من التوقيع، بل تعرض المحتويات فقط للتحليل. للتحقق الفعلي، تحتاج إلى المفتاح وأداة متخصصة.

JWT هو مفهوم عام لتمثيل المطالبات. JWS (JSON Web Signature) هو آلية التوقيع الرقمي التي يستخدمها JWT. JWE (JSON Web Encryption) هو آلية تشفير محتويات JWT. - JWS: يقوم بتوقيع البيانات لضمان سلامتها وعدم التلاعب بها، لكن البيانات لا تزال قابلة للقراءة (فقط مشفرة بـ Base64). هذا هو النوع الأكثر شيوعاً من JWT. - JWE: يقوم بتشفير البيانات بالكامل، بحيث لا يمكن لأي شخص غير مصرح له قراءتها. يتطلب JWE المفتاح الخاص لفك التشفير. - JWT العادي (عادةً JWS) يحتوي على بيانات قابلة للقراءة بعد فك Base64. إذا كنت بحاجة إلى سرية البيانات، استخدم JWE. ملحوظة: أداة عارض المطالبات هذه تدعم فقط JWTs الموقعة (JWS) لأنها تفك تشفير Base64. بالنسبة لـ JWE، لا يمكن فك التشفير بدون المفتاح.

المطالبات القياسية هي مجموعة من المفاتيح المحددة مسبقاً في RFC 7519 والتي تحمل معاني خاصة. يتم استخدامها لضمان التوافق بين التطبيقات المختلفة. أهمها: - iss (Issuer): مُصدر الرمز (مثال: "https://example.com"). - sub (Subject): الموضوع أو المستخدم الذي يخصه الرمز (مثال: "user1234"). - aud (Audience): الجمهور المستهدف للرمز (يمكن أن يكون سلسلة أو مصفوفة). - exp (Expiration Time): وقت انتهاء صلاحية الرمز كـ Unix timestamp. يجب ألا يقبل الخادم الرموز بعد هذا الوقت. - nbf (Not Before): الوقت الذي يصبح الرمز صالحاً بعده. - iat (Issued At): وقت إصدار الرمز. - jti (JWT ID): معرف فريد للرمز لمنع إعادة الاستخدام (يمكن استخدامه في أنظمة منع إعادة التشغيل). عند تحليل JWT، يجب التحقق من قيمة exp (وقت الانتهاء) لضمان أن الرمز لم ينته صلاحيته. بعض التطبيقات تتحقق أيضاً من nbf و aud. مثال: إذا كان الرمز يحتوي على {"exp": 1716710400} والوقت الحالي يتجاوز هذه القيمة، يجب رفض الرمز. لاحظ أن قيمة timestamp تعتمد على منطقة زمنية (UTC عادة).

عارض مطالبات JWT

أدخل القيم

خطوات الاستخدام

أمثلة محلولة

الأسئلة الشائعة

أدخل القيم

خطوات الاستخدام

حاسبات ذات صلة

1مثال: تحليل رمز JWT حقيقي باستخدام خوارزمية HS256

2مثال: رمز JWT مع مطالبات مخصصة وخوارزمية RS256

الأسئلة الشائعة