طريقة الاستخدام
الصق التوكن
من ترويسة Authorization: Bearer … أو من أدوات المطور. نحذف كلمة Bearer تلقائيا.
اقرأ المحتوى
يظهر الرأس والمحتوى منسقين، والتواريخ مثل exp مقروءة مع الوقت المتبقي.
تحقق من التوقيع
ضع المفتاح السري (HS256) أو المفتاح العام (RS256 وغيرها) لنتأكد أن التوكن لم يُعدّل.
أشهر الحقول (Claims)
| الحقل | معناه |
|---|---|
exp | وقت انتهاء الصلاحية (ثوان منذ 1970) |
iat | وقت الإصدار |
nbf | لا يُقبل قبل هذا الوقت |
sub | صاحب التوكن، غالبا رقم المستخدم |
iss | الجهة التي أصدرته |
aud | الجهة المقصودة به |
jti | معرّف فريد للتوكن |
معلومات تفيدك
JWT ليس مشفرا. المحتوى مرمّز Base64URL فقط، ويقرؤه أي أحد يملك التوكن. لا تضع فيه كلمات مرور أو بيانات سرية.
التوقيع يمنع التعديل. التوقيع يثبت أن المحتوى لم يتغير منذ أصدره الخادم، ولا يخفيه.
احذر alg: none. توكن بلا توقيع يجب أن يرفضه الخادم دائما. وننبهك إن رأيناه.
أسئلة شائعة
هل من الآمن لصق التوكن هنا؟
نعم. الفك والتحقق يجريان داخل متصفحك بالكامل، ولا نرسل التوكن أو المفتاح لأي خادم. ومع ذلك، التوكن الفعّال يعمل ككلمة مرور مؤقتة، فلا تشاركه مع أحد.
كيف أعرف إن انتهت صلاحية التوكن؟
من الحقل exp: نعرضه تاريخا ووقتا بتوقيت UTC وبتوقيت جهازك، مع «منتهي منذ…» أو «ينتهي بعد…».
لماذا يظهر «التوقيع غير صحيح»؟
إما أن المفتاح ليس المفتاح الذي وقّع به الخادم (تأكد من خيار Base64 للمفتاح السري)، وإما أن الرأس أو المحتوى عُدّل بعد التوقيع.
من أين أحصل على المفتاح العام؟
غالبا من رابط JWKS عند الجهة المصدرة، مثل /.well-known/jwks.json. الصق محتواه كاملا، ونختار المفتاح المناسب حسب kid.