بنية رمز JWT ومكوناته الأساسية
يتكون رمز JSON Web Token (JWT) من سلسلة نصية مقسمة إلى ثلاثة أجزاء منفصلة تفصل بينها نقاط. تتبع هذه الأجزاء ترتيباً ثابتاً يمثل الهيكل التنظيمي للرمز:
- الرأس: يحتوي على معلومات التعريف الخاصة بالرمز، مثل نوع الرمز وخوارزمية التوقيع المستخدمة.
- الحمولة: تضم البيانات الفعلية المراد نقلها، وتُعرف هذه البيانات بالادعاءات (Claims).
- التوقيع (Signature): يُستخدم للتحقق من أن الرمز لم يتم التلاعب به أثناء الانتقال.
يعتمد ترميز هذه الأجزاء على نظام الترميز Base64URL لضمان إمكانية نقل الرمز بأمان عبر بروتوكولات الإنترنت دون أن تتأثر المحارف الخاصة. تستخدم الأداة هذا النظام لفك ترميز النصوص البرمجية وإعادتها إلى صيغة JSON الأصلية المقروءة.
فك ترميز الرأس والحمولة وبيانات التعريف
عند إدخال الرمز في الحقل المخصص، تقوم الأداة بتحليل الأجزاء الثلاثة واستخراج البيانات التالية وعرضها للمستخدم:
- الرأس: يعرض البيانات الواردة في القسم الأول بعد فك تشفيرها وتنسيقها كـ JSON. يحتوي عادةً على خوارزمية التوقيع في حقل
algونوع الرمز في حقلtyp. - الحمولة: تعرض البيانات الواردة في القسم الثاني كـ JSON. تتضمن الادعاءات المسجلة مثل وقت الإصدار
iatووقت انتهاء الصلاحيةexp. - الخوارزمية: توضح الخوارزمية المستخدمة في تشفير التوقيع.
- النوع: يوضح نوع الرمز المميز.
- صدرت في: يعرض الوقت والتاريخ الذي تم فيه إنشاء الرمز بناءً على حقل
iat. - تاريخ الانتهاء: يعرض وقت انتهاء صلاحية الرمز بناءً على حقل
exp. - الأحرف: يعرض عدد الأحرف الإجمالي للرمز المدخل.
قواعد التحقق ومعالجة الأخطاء أثناء فك الترميز
تخضع عملية فك الترميز لمجموعة من القواعد الصارمة للتحقق من سلامة بنية الرمز. في حال وجود أي خلل، تقوم الأداة بإخفاء مناطق فك الترميز وعرض رسائل خطأ محددة بدقة:
- حالة الخلو: إذا كان حقل الإدخال فارغاً، تظل الأداة في حالة "مستعد. قم بلصق JWT لفك تشفيره.".
- تنسيق غير صالح: إذا لم يحتوي النص المدخل على نقطتين تفصلان الأجزاء الثلاثة، يظهر الخطأ "JWT غير صالح — من المتوقع وجود ثلاثة أجزاء مفصولة بنقاط.".
- خطأ ترميز الرأس: إذا تعذر فك ترميز القسم الأول، يظهر الخطأ "تعذر فك تشفير الرأس — Base64URL غير صالح.".
- خطأ ترميز الحمولة: إذا تعذر فك ترميز القسم الثاني، يظهر الخطأ "تعذر فك تشفير الحمولة — Base64URL غير صالح.".
- خطأ في بنية JSON للرأس: إذا لم يكن الرأس بعد فك ترميزه نصاً متوافقاً مع صيغة JSON، يظهر الخطأ "الرأس غير صالح JSON.".
- خطأ في بنية JSON للحمولة: إذا لم تكن الحمولة بعد فك ترميزها نصاً متوافقاً مع صيغة JSON، يظهر الخطأ "الحمولة غير صالحة JSON.".
- طول مفرط: إذا تجاوز النص المدخل الطول المنطقي للرموز، يظهر الخطأ "هذا طويل جدًا بحيث لا يمكن اعتباره JWT حقيقيًا.".
- إعادة التعيين: عند الضغط على زر المسح، يعود التركيز تلقائياً إلى حقل الإدخال.
التحقق من حالة صلاحية الرمز المميز
تقرأ الأداة ادعاء انتهاء الصلاحية exp الموجود داخل الحمولة لتحديد حالة الرمز الحالية وعرض شارة ملونة توضح النتيجة:
| شارة الحالة | المعنى والشرط |
|---|---|
| صالح | الرمز لم يتجاوز وقت انتهاء الصلاحية المحدد في exp. |
| منتهي الصلاحية | الوقت الحالي تجاوز الوقت المحدد في حقل exp. |
| غير صالح بعد | الوقت الحالي يسبق وقت تفعيل الرمز أو إصداره. |
| لا انتهاء الصلاحية | الرمز لا يحتوي على حقل exp ضمن حمولته. |
يجب الانتباه إلى أن هذه الشارة تعتمد فقط على قراءة حقل الوقت، ويظهر بجانبها تنبيه يوضح أن "يتحقق هذا من ادعاء exp فقط — ولا يتحقق من التوقيع أو الجهة المصدرة أو الجمهور.".
الفرق بين فك الترميز والتحقق من التوقيع
يختلف فك ترميز الرمز تماماً عن عملية التحقق من صحته وتوقيعه.
عملية فك الترميز هي مجرد عملية رياضية عكسية لتحويل نص مكتوب بصيغة Base64URL إلى نص مقروء بصيغة JSON. يمكن لأي شخص يمتلك الرمز فك ترميزه وقراءة محتوياته دون الحاجة لأي صلاحيات.
أما عملية التحقق من التوقيع، فتتطلب مطابقة التوقيع المرفق مع الرمز باستخدام المفتاح السري المشترك أو المفتاح العام الخاص بالجهة المصدرة. لا تقوم هذه الأداة بالتحقق من التوقيع، ولا تطلب من المستخدم إدخال أي مفاتيح سرية أو عامة لضمان أمن بياناته. إن عدم التحقق من التوقيع في التطبيقات الفعلية يعني عدم إمكانية الوثوق بالبيانات الواردة في الحمولة، حيث يمكن تعديلها وإعادة ترميزها بسهولة.
خصوصية البيانات ومعالجتها المحلية
تتم معالجة الرموز وفك ترميزها بالكامل داخل متصفح الويب الخاص بالمستخدم. لا يتم إرسال الرموز أو رفعها إلى خوادم BroBroGo نهائياً. تضمن هذه الآلية بقاء البيانات الحساسة والادعاءات الواردة في الرموز محصورة داخل بيئة العمل المحلية للمستخدم دون أي تدخل خارجي.
الأسئلة الشائعة
هل من الآمن لصق JWT هنا؟
نعم. يتم فك التشفير بالكامل في متصفحك - ولا يتم إرسال الرمز المميز الخاص بك أبدًا إلى BroBroGo.
هل هذا يؤكد صحة التوقيع؟
لا، فهو يقوم فقط بفك تشفير الرأس والحمولة لتتمكن من قراءتها. يحتاج التحقق من التوقيع إلى سر التوقيع أو المفتاح العام، وهو ما لا تطلبه هذه الأداة أبدًا.
كيف أعرف إذا كانت صلاحية الرمز المميز الخاص بي قد انتهت؟
يقرأ جهاز فك التشفير مطالبة exp ويعرض شارة الحالة - صالحة، أو منتهية الصلاحية، أو غير صالحة بعد، أو لا تنتهي صلاحيتها - بجوار الرمز المميز الذي تم فك تشفيره.