فاكّ رموز JWT

رمز JWT ثلاثة مقاطع Base64 آمنة للروابط تفصلها نقاط: ترويسة تقول أي خوارزمية وقّعته، وحمولة من الادّعاءات، وتوقيع على الاثنين الأولين. والأولان مرمَّزان لا معمَّيان، ففكّهما ليس إلا Base64 يتبعه تحليل JSON.

وكل من يحمل الرمز يستطيع قراءة الحمولة. وتلك خاصّية تصميم لا عيب — لكنها تعني أن رمز JWT يجب ألّا يحمل شيئًا سرّيًا أبدًا. فالرموز التي فيها معرّفات داخلية وعناوين بريد وأسماء أدوار مقروءة لكل طرف تمرّ به، بما فيه المتصفّح الذي تُخزَّن فيه.

وفكّ الترميز ليس تحقّقًا. فالتوقيع هو ما يثبت أن الرمز صدر ممّن يدّعي وأنه لم يُبدَّل، وفحصه يتطلّب السرّ أو المفتاح العامّ — وهو ما لا يملكه إلا الخادم المُصدِر. وأي فاكّ يدّعي التحقّق من رمز إمّا يملك مفتاحك أو لا يتحقّق حقًا.

وادّعاءات الطوابع الزمنية — iat وnbf وexp — ثوانٍ بتوقيت يونكس، مترجَمة هنا إلى أوقات UTC مقروءة، مع وسم الانتهاء مقابل اللحظة الحالية.

اضغط حمّل رمزًا للتجربة. تعرض الترويسة HS256 وJWT؛ وتعرض الحمولة موضوعًا واسمًا ودورًا وطابعين زمنيين.

وادّعاء role: admin يوضّح النقطة المتعلّقة بالسرّية. فكل من يتعامل مع هذا الرمز يراه — بما في ذلك المتصفّح الذي يُخزَّن فيه، وأي وكيل يمرّ به، وأي سجلّ يدوّن الطلب. ورمز JWT بيان اعتماد لحامله: فمن يملكه يستطيع استعماله.

ولهذا بالضبط ينبغي أن يكون الفاكّ محلّيًا. فالحركة المعتادة في تتبّع الأخطاء هي لصق رمز في فاكّ على الإنترنت أثناء مطاردة علّة مصادقة. وذلك الرمز حيّ، ويخوّل كل ما يستطيع المستخدم فعله، وقد أُرسل للتوّ إلى طرف ثالث. فإن سبق أن فعلتها — ومعظم المطوّرين فعلوها — فبدّل السرّ.

وسطر الانتهاء أسرع جواب عن «لماذا يخفق هذا الطلب». فـexp في الماضي يظهر منتهيًا، وذلك آخر التحقيق. والصورة الشائعة الأخرى رمز صالح لكن nbf فيه في المستقبل، عادةً لأن ساعتَي خادمين لا تتّفقان.

ولفهم الترميز الكامن تحته، أداة Base64 تفكّ أي مقطع مفرد يدويًا.