متوافق مع RFC 7515 JWS و RFC 7519 JWT • معالجة محلية داخل الذاكرة

مفكك ومحلل رموز JWS و JWT أونلاين (JSON Web Signature)

حلل وفكك رموز JWS وتوكنات JWT بأمان محلياً في المتصفح. افهم الفرق الجوهري بين فك الترميز والتحقق من التوقيع، وافحص المطالبات القياسية.

هل يمكن فك وقراءة رمز JWS / JWT بدون المفتاح السري؟

نعم بالتأكيد. رموز JWS (RFC 7515) و JWT (RFC 7519) القياسية تكون موقعة رقمياً وليست مشفرة. الترويسة والحمولة عبارة عن كائنات JSON مشفرة بنظام Base64URL ويمكن لأي شخص فكها وقراءتها بدون مفتاح سري. المفتاح السري مطلوب فقط للتحقق من صحة التوقيع الرقمي.

تنبيه أمني بالغ الأهمية: فك الترميز ≠ التحقق من التوقيع

نجاح فك تشفير الرمز لا يعني إطلاقاً أن توقيعه الرقمي صحيح أو أصلي

من أكبر الأخطاء الأمنية الشائعة الاعتقاد بأن قراءة محتويات التوكن تعني أنه موثوق. رموز JWS/JWT القياسية مشفرة فقط بنظام Base64URL ويمكن لأي شخص تعديل محتواها وصنع رموز مزيفة. لا تعتمد أبداً على بيانات الحمولة لمنح الصلاحيات دون التحقق الفعلي من صحة التوقيع عبر المفتاح السري المشترك أو الشهادة العامة.

التحقق التشفيري من التوقيع باستخدام المفتاح السري / المفتاح العام ←
خصوصية محلية 100%: تتم معالجة رموز JWT وتوقيعات JWS حصرياً داخل ذاكرة متصفحك ولا يتم رفعها أو إرسالها إلى أي خادم على الإطلاق.
WhatsApp
الرمز المشفر (الصق رمز JWT أو JWS) 0 chars
Supports RFC 7515 JWS Compact Serialization & Bearer Tokens 100% Offline
Header Payload Signature
حالة الرمز وصلاحية الانتهاء Awaiting Input

Paste a token or click a sample button to inspect its claims.

الترويسة (Header): الخوارزمية والنوع (JOSE) 
{"alg": "none"}
الحمولة (Payload): البيانات والمطالبات 
{}

تحليل المطالبات القياسية

0 claims
No standard claims parsed yet.
تعالج الأدوات الأساسية المدخلات محلياً. يرسل الذكاء الاصطناعي الاختياري المقطع المحدد بعد موافقتك عبر Cloudflare إلى Cloudflare AI أو مزود Google Gemini الاحتياطي الاختياري؛ وتطبق سياسات احتفاظ المزود بالبيانات. يرسل نموذج التواصل بياناتك إلى مزود البريد. يتطلب الاستخدام دون اتصال اكتمال تخزين الصفحة ومواردها؛ ويتطلب الذكاء الاصطناعي الخارجي وإرسال الرسائل اتصالاً بالإنترنت. Core operation in browser memory
Local browser processing

قراءة رمز JWT أو JWS دون مفتاح سري

  1. ألصق رمزاً موقعاً من ثلاثة أجزاء أو حمّل المثال. تستخدم الترويسة والحمولة ترميز Base64URL ويمكن قراءتهما دون مفتاح سري.
  2. راجع الخوارزمية والحقول مثل exp وiss وaud. اعتبرها غير موثوقة حتى تتحقق من التوقيع ومتطلبات تطبيقك.
  3. لفحص الأصالة، افتح أداة التحقق من التوقيع واستخدم الخوارزمية المتوقعة ومفتاحاً موثوقاً. القراءة وحدها ليست مصادقة.

ماذا تعني النتيجة

لا تفك هذه الأداة تشفير رموز JWE ذات الأجزاء الخمسة. قد تُقرأ الرموز المنتهية أو المزورة بنجاح؛ قراءة البيانات لا تمنح صلاحية الوصول.

قراءة الدليل العملي التحقق من التوقيع RFC 7515: JSON Web Signature
JWT Diagnostics

مصحح أخطاء JWT — تشخيص وإصلاح أخطاء الرموز فوراً

أكثر 5 أخطاء شائعة في رموز JSON Web Token. اضغط "جرب في وحدة فك التشفير" لتحميل الرمز ومعاينة المطالبات وحالة الصلاحية.

TokenExpiredError: jwt expired

TokenExpiredError: jwt expired / "exp" timestamp is in the past
السبب الجذري

The exp (expiration time) claim in the token payload represents a Unix epoch timestamp that has already elapsed compared to current server time.

❌ رمز به خطأ
Payload: { "sub": "12345", "name": "Alex", "exp": 1516239022 }
Status: EXPIRED (2018-01-18T01:30:22Z)
✅ الرمز المصحح
Payload: { "sub": "12345", "name": "Alex", "exp": 1893456000 }
Status: ACTIVE (Valid through 2030-01-01)

الحل البرمجي: Request a fresh token using your refresh token endpoint, or check clock synchronization (NTP) between identity provider and API server.

JsonWebTokenError: invalid signature

JsonWebTokenError: invalid signature / cryptographic verification failed
السبب الجذري

The signature segment was computed with a different secret or private key, or the payload/header was modified in transit after signing, altering the HMAC/RSA digest.

❌ رمز به خطأ
Header.Payload.TAMPERED_OR_WRONG_SECRET_SIGNATURE
Digest mismatch: Computed HMAC !== Received HMAC
✅ الرمز المصحح
Header.Payload.VALID_VERIFIED_SIGNATURE
Digest matches: HMAC-SHA256(header.payload, SECRET)

الحل البرمجي: Ensure the API server uses the exact same secret key or public key (RS256) as the authentication server, and never alter payload bytes after signing.

JsonWebTokenError: jwt malformed (Segment Count)

JsonWebTokenError: jwt malformed / Expected 3 dot-separated segments
السبب الجذري

RFC 7519 compact JWTs must consist of exactly 3 parts separated by periods: Header.Payload.Signature. Pasting the "Bearer " prefix or omitting a section breaks the parser.

❌ رمز به خطأ
Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0
(Has "Bearer " prefix and missing 3rd signature segment)
✅ الرمز المصحح
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.Xp8sK2_9aB07R_8X9vU3L0x_6YpM5NqD9kM0wP8a1b2
(Clean 3-segment compact serialization)

الحل البرمجي: Strip the "Bearer " header prefix using token.replace(/^Bearer\s+/, "") before decoding, and confirm all 3 segments exist.

Base64Url Illegal Character / Whitespace

TypeError: Failed to execute "atob" / The string contains invalid base64 characters
السبب الجذري

JWT uses RFC 4648 URL-safe base64 (- instead of +, _ instead of /, no = padding). Extra whitespace, newlines, or standard base64 characters cause decoding exceptions.

❌ رمز به خطأ
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 .eyJzdWIi... (Embedded whitespace before period)
✅ الرمز المصحح
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIi... (Sanitized URL-safe base64 string)

الحل البرمجي: Trim trailing spaces and newlines using token.trim(). Replace + with - and / with _ before base64 decoding.

Algorithm None Vulnerability (alg: "none")

SecurityException: Algorithm "none" is rejected in production mode
السبب الجذري

Attackers forge tokens by specifying "alg": "none" in the header and omitting the signature. Insecure parsers that do not enforce algorithms accept unsigned forged payloads.

❌ رمز به خطأ
Header: { "alg": "none", "typ": "JWT" }
Signature: (empty / unsigned bypass attempt)
✅ الرمز المصحح
Header: { "alg": "HS256", "typ": "JWT" } or { "alg": "RS256", "typ": "JWT" }
Enforced cryptographic signature verification

الحل البرمجي: Always enforce strict algorithm whitelisting in your JWT verification middleware: algorithms: ["HS256", "RS256"]. Never permit alg: "none".

دليل هندسي للمطورين

هل تحتاج أمثلة برمجية؟ تعلم كيفية فك تشفير رموز JWT بدون مفتاح سري في Node.js و Python و Go

قراءة الدليل الكامل
الأسئلة الشائعة والأجوبة التقنية · مفكك رموز JWT و JWS (محلل التوكن RFC 7515)

فك تشفير JWT — الدليل التقني RFC 7519 لـ JSON Web Tokens

فك تشفير وتفتيش والتحقق من JSON Web Tokens في متصفحك وفق RFC 7519.

MU
مهندس حلول وأدوات المطورين
مرجع تقني

01. JSON Web Tokens: هيكل RFC 7519 والادعاءات

JWT المعرف في RFC 7519 يتكون من ثلاثة أجزاء مرمزة بـ Base64URL مفصولة بنقاط: الرأس والحمولة والتوقيع.

تحتوي الحمولة على الادعاءات المسجلة في RFC 7519: iss وsub وaud وexp وnbf وiat وjti. هجوم "alg: none" يتجاوز التحقق من التوقيع كلياً.

  • ادعاءات RFC 7519: iss، sub، aud، exp، nbf، iat، jti.
  • دعم الخوارزميات: HS256/384/512، RS256/384/512، ES256/384/512.
  • كشف انتهاء الصلاحية: مقارنة exp بالوقت الحالي UTC.

الأسئلة الشائعة والأجوبة التقنية

هل يمكنني التحقق من توقيعات JWT؟

نعم. لتوكنات HS256 الصق سرك HMAC. لـ RS256/ES256 الصق المفتاح العام بصيغة PEM.

هل يتم رفع بياناتي الحساسة إلى خوادم خارجية عند استخدام مفكك رموز JWT و JWS (محلل التوكن RFC 7515)؟

لا. يتم التنفيذ الأساسي لأداة مفكك رموز JWT و JWS (محلل التوكن RFC 7515) داخل الذاكرة المتطايرة لمتصفحك دون رفع البيانات إلى خوادم؛ وتتطلب أي ميزات سحابية اختيارية موافقتك الصريحة.

هل يمكنني تشغيل مفكك رموز JWT و JWS (محلل التوكن RFC 7515) دون اتصال نشط بالإنترنت؟

يتطلب العمل دون اتصال اكتمال تخزين الصفحة وموارد الأداة أولاً. تعمل التحويلات الأساسية محلياً، بينما يحتاج الذكاء الاصطناعي الاختياري وإرسال نموذج التواصل إلى الإنترنت.

هل مفكك رموز JWT و JWS (محلل التوكن RFC 7515) مجانية الاستخدام وهل هناك أي قيود؟

الأدوات الأساسية مجانية ولا تتطلب حساباً. تطبق حدود ذاكرة الجهاز وحدود السلامة الخاصة بكل أداة. توجد حدود استخدام للذكاء الاصطناعي الاختياري وخدمات التواصل عبر الإنترنت.

أدوات ومرافق برمجية ذات صلة

عزز كفاءة سير عملك اليومي بمرافق برمجية مكملة تعمل محلياً بخصوصية تامة داخل متصفحك.

أدوات المطورين آمن 100%

مُشفّر ومفكك Base64 و Hex

تحويل النصوص والملفات بين Base64 و Hexadecimal مع دعم كامل لـ UTF-8 ومعالجة آمنة وسريعة محلياً داخل المتصفح.

تشغيل الأداة
الأمان والتشفير Web Crypto + JS

مُولّد الهاش والتشفير

توليد بصمات MD5 و SHA-256 و SHA-512 مع مقارنة حية لسلامة البيانات والتحقق من صحة الملفات والنصوص المشفرة.

تشغيل الأداة
أدوات المطورين متعدد اللغات

مُحوّل أوامر cURL

تحويل صيغة cURL إلى كود برمجي أصلي لـ JavaScript Fetch و Axios و Python Requests و Node.js بكفاءة وسرعة.

تشغيل الأداة
أدوات المطورين الأكثر استخداماً

مُنسّق ومُدقّق JSON

تنسيق والتحقق من صحة وتصغير ملفات JSON فوراً مع اكتشاف الأخطاء النحوية ومعالجة مشفرة بالكامل في المتصفح.

تشغيل الأداة
الأمان والتشفير تشفير متصفح أصلي

مُولّد تواقيع التشفير HMAC

توليد تواقيع HMAC المعتمدة على المفتاح السري باستخدام خوارزميات SHA-256 و SHA-512 عبر واجهة Web Crypto API المحلية لحماية واجهات البرمجة.

تشغيل الأداة
الأمان وشهادات PKI 100% تشفير محلي في المتصفح

أداة فك تشفير شهادات X.509 وفاحص طلبات CSR المحلي

فحص وتدقيق شهادات الأمان SSL/TLS وملفات CSR المشفرة (.pem, .crt, .cer) بأمان مطلق داخل ذاكرة المتصفح دون إرسال أي بايت لأي خوادم خارجية.

تشغيل الأداة
استكشف دليل الأدوات