JWT Decoder - JSON Web Tokens

رمز JSON Web Token هو بيانات اعتماد. يقوم هذا التطبيق بفك تشفيره، وشرح محتواه،

والتحقق من توقيعه - كل ذلك على جهازك، دون أي اتصال بالشبكة.

فك تشفير أي شيء على شكل رمز

ألصق رمزًا، أو أرسله هنا من تطبيق آخر: حدده في سجل، أو أمر curl،

أو رأس Authorization، أو استجابة JSON، ثم استخدم "مشاركة" أو خيار "فك تشفير JWT" في قائمة النصوص. يتم استخراج الرمز من النص المحيط به.

يتم التعرف على كل من الرموز الموقعة (JWS) والرموز المشفرة (JWE). لا يمكن قراءة بيانات JWE بدون المفتاح الخاص للمستلم،

لذا يُشير التطبيق إلى ذلك،

ويُظهر ما يكشفه الرأس المحمي، بدلاً من اعتبار الرمز صالحًا.

عندما يكون الرمز تالفًا، لا يزال بإمكانك قراءة ما يمكن قراءته: حمولة البيانات المقتطعة لا تمنع الرأس من ذكر اسم الخوارزمية ومعرف المفتاح.

اقرأ بيانات المطالبات، وليس ترميز Base64

يتم تسمية كل مطالبة مسجلة وشرحها: المُصدر، والموضوع، والجمهور،

وتاريخ الانتهاء، وتاريخ آخر استخدام، وتاريخ الإصدار، ومعرّف الرمز المميز. تظهر مطالبات الوقت كتاريخ حقيقي بالإضافة إلى

المدة الزمنية - "انتهت صلاحيتها قبل 4 ساعات"، "خلال 12 دقيقة" - بالتوقيت المحلي، أو التوقيت العالمي المنسق، أو بالثواني.

يعمل الجمهور سواء كان سلسلة نصية واحدة أو قائمة. يتم التعرف على حوالي 90 اسم مطالبة،

بما في ذلك مجموعة OpenID Connect وأسماء الموردين من

Microsoft Entra وFirebase وAWS Cognito وAuth0 وKeycloak، حتى تتمكن من معرفة

النظام الذي أصدر الرمز المميز.

تحقق من التوقيع

• HS256، HS384، HS512 مقابل سر مشترك - كنص، أو base64، أو base64url، أو

hex، حيث تختار أنت الخيار بدلاً من أن يخمنه التطبيق.

• RS256/384/512، PS256/384/512، ES256/384/512، وES256K مقابل مفتاح عام.

• المفاتيح المقبولة كملف PEM، أو شهادة X.509، أو JWK، أو ملف jwks.json كامل -

في هذه الحالة، يختار معرّف مفتاح الرمز المميز المدخل الصحيح.

النتيجة ليست مجرد نعم أو لا. "لا يتطابق"، "نوع المفتاح خاطئ"،

"منحنى خاطئ"، و"لا يمكن التحقق من هذه الخوارزمية هنا" هي أربع إجابات مختلفة،

وستحصل على الإجابة الصحيحة. التوقيع الذي يتم التحقق منه ولكنه مُشفّر بصيغة DER

بدلاً من الصيغة الأصلية التي تتطلبها JOSE يُعتبر صحيحاً تماماً،

ومع ذلك سيتم رفضه في أماكن أخرى.

اعرف ما هو الخطأ فيه

خمسة وثلاثون اكتشافًا، كل منها مُوضّح بجملة بدلًا من استخدام مصطلحات تقنية مُعقّدة:

• تم ضبط "alg" على "none"، ما يسمح لأي شخص بإنشاء الرمز المميز.

• اسم خوارزمية لا تتطابق أحرفها الكبيرة والصغيرة مع أي اسم مُسجّل.

• مفتاح مُضمّن في رأس الرسالة، أو رأس رسالة يُشير إلى مفتاح بعيد.

• امتداد "crit" مطلوب من المُدقّق فهمه ولكنه غير مُتاح.

• "nbf" عند أو بعد "exp"، ما يعني أن الرمز المميز لا يكون صالحًا في أي لحظة.

• يتم إصدار "exp" بالمللي ثانية - أو الميكرو ثانية، أو النانو ثانية.

• ظهور نفس الادعاء مرتين، وهو ما تُحلّه المكتبات المختلفة بشكل مُختلف.

• لا يوجد جمهور، ما يعني عدم وجود ما يربط الرمز المميز بالخدمة المُستقبلة له.

• توقيع ECDSA بطول غير مُناسب لمنحناه.

والأهم الذي يجب على الكثيرين معرفته: الحمولة مُوقّعة، وليست مُشفّرة.

أي شخص يمتلك الرمز المميز يُمكنه قراءة جميع الادعاءات فيه.

مصمم لأمر لا تثق به

لا يتم إرسال أي رمز مميز أو مفتاح أو سر على الإطلاق، ولا تُكتب المفاتيح والأسرار في الذاكرة مطلقًا - فهي موجودة فقط أثناء فتح الشاشة.

يتم الاحتفاظ بالرموز المميزة الأخيرة على الجهاز لتتمكن من الرجوع إليها. تعرض القائمة رمزًا مميزًا مخفيًا وتطلب الإذن قبل الكشف عنه؛ مساحة التخزين محدودة وقابلة للمسح،

وهي مستثناة من النسخ الاحتياطي السحابي لنظام Android ونقل البيانات بين الأجهزة، لذا

لا يغادر الرمز المميز المخزن الهاتف أبدًا. يؤدي إيقاف تشغيل هذه الميزة إلى حذف ما هو موجود بالفعل.

أيضًا

• وضع فاتح وداكن، وفقًا لإعدادات نظامك

• عشر لغات

• حمولة ورأس ملونة حسب بنية البيانات، مع عرض الأرقام كما هي مكتوبة تمامًا

• إمكانية ضبط انحراف الساعة، بحيث يتطابق القرار مع ما يقرره خادم

بساعة مختلفة قليلاً

• الرموز المميزة المتداخلة: إذا كانت الحمولة نفسها JWT، فسيتم فتحها.