أداة فك ترميز JWT

ما هي أداة فك ترميز JWT؟

الـJWT (JSON Web Token) نص مضغوط تنقله التطبيقات بين المتصفح والخادم لتمثيل جلسة أو صلاحية، غالبًا بعد تسجيل الدخول. يتكوّن في صيغته القياسية (JWS المضغوطة) من ثلاثة أجزاء مفصولة بنقطتين: header ثم payload ثم signature، وكل جزء من الأولين مُرمَّز بـbase64url لا مشفَّر.

أداة فك ترميز JWT هذه تأخذ التوكن وتعيد الجزأين الأولين إلى JSON مقروء: الـheader يكشف الخوارزمية (alg) ونوع التوكن (typ)، والـpayload يحمل الـclaims الفعلية — من أصدر التوكن، ولمن، ومتى ينتهي. تعرضهما الأداة في جدولين واضحين فور اللصق، مع شرح مختصر لمعنى كل claim من السبعة التي يسجّلها RFC 7519.

كيف تستخدمها

1. الصق التوكن في مربع النص — يُفك الترميز فور الكتابة أو اللصق، بلا زر إرسال.
2. راجع الأعلى لترى الخوارزمية (alg) والنوع (typ) وحالة الصلاحية: منتهٍ، لم يبدأ بعد، أو ساري حاليًا.
3. افحص الجدولين أسفل ذلك: header وpayload، بكل claim واسمه وقيمته ومعناه، إلى جانب مقطع signature دون التحقق منه — مع أزرار نسخ لكل جزء.

الحدود الصادقة

فك الترميز ليس تحققًا، وهذه أهم نقطة في هذه الصفحة. RFC 7519 نفسه يفصل بين الأمرين: قراءة البايتات المخزَّنة في التوكن شيء، والتأكد من أن التوقيع صادر فعلًا عن الجهة التي تدّعيه شيء آخر تمامًا. أي شخص يستطيع أن يصنع توكنًا فيه claim باسم admin بقيمة true بنفسه — التوكن المفكوك يخبرك بما يدّعيه لا بما إذا كان صحيحًا، وتصديق الادعاء مسؤولية الخادم الذي يتحقق من التوقيع، لا هذه الصفحة.

لا يوجد في هذه الصفحة حقل للصق مفتاح التوقيع السري، وهذا قرار مقصود لا نقص. التحقق من توقيع HS256 يستلزم لصق السرّ نفسه في صفحة ويب تعمل في متصفحك، والمفتاح السري هو تحديدًا الشيء الذي يجب ألا يُكتب في أي حقل خارج الخادم الذي يحمله. الأداة ترفض هذا المسار بدل أن تضيف له واجهة تبدو مريحة وهي في الحقيقة تسريب.

وحتى ضمن حدود فك الترميز، الأداة لا تعرف كل شيء: حالة الانتهاء تُحسب بساعة جهازك أنت مقابل ما يدّعيه حقل exp في التوكن نفسه، لا مقابل ساعة أي خادم. لا تتحقق الأداة من مطابقة aud أو iss لما يتوقعه تطبيقك، ولا تعرف إن كان التوكن قد أُبطل يدويًا قبل انتهاء صلاحيته المعلنة. وإن كان التوكن من خمسة أجزاء بدل ثلاثة فهو JWE مشفَّر فعليًا لا JWS مُرمَّز، ولا يمكن لهذه الأداة ولا لأي أداة فك ترميز أن تقرأه دون مفتاح فك التشفير.

وقد جرى اختبار محرك فك الترميز مقابل مكتبة jose على 400 توكن مولَّد عشوائيًا إضافة إلى حالات حدّية مكتوبة يدويًا — 3073 تحققًا نجحت كلها — ثم أُزيلت المكتبة بعد ذلك، فهي ليست من اعتماديات الموقع.

لماذا هذه الصفحة مجانية؟

هذه الصفحة ثابتة بالكامل: التنفيذ كله في متصفحك بجافاسكربت عادي، وفك ترميز base64url وJSON لا يحتاج خادمًا ولا استدعاء نموذج، فتكلفتها صفر تقريبًا مهما زاد عدد الزيارات. لا حساب ولا اشتراك ولا رفع ملفات ولا علامة مائية على أي نص تنسخه — نفس المنطق الذي يجعل أدوات الموقع الأخرى في المتصفح مجانية.