ما هو JWT؟ شرح رموز JSON Web Token

الأجزاء الثلاثة لرمز JWT

يتكون JWT من ثلاثة مقاطع مرمّزة بـ Base64URL تفصل بينها نقاط: header.payload.signature. وBase64URL هو Base64 بأحرف آمنة لعناوين URL ودون حشو، حتى يمكن للرمز الانتقال في الترويسات وسلاسل الاستعلام وملفات تعريف الارتباط.

• الترويسة (Header) — JSON يصف نوع الرمز وخوارزمية التوقيع، مثل {"alg": "HS256", "typ": "JWT"}. وقد تحمل أيضاً kid (معرّف المفتاح) الذي يخبر المتحقق بالمفتاح الواجب استخدامه.
• الحمولة (Payload) — المطالبات ككائن JSON. يمكن وضع أي شيء هنا، لكنه مرمّز فقط لا مشفّر: كل من يملك الرمز يستطيع قراءته.
• التوقيع (Signature) — يُحسب على الترويسة والحمولة المرمّزتين بالخوارزمية المذكورة في الترويسة. تستخدم HS256 سراً مشتركاً (HMAC)؛ أما RS256 وES256 فتستخدمان مفتاحاً خاصاً للتوقيع ومفتاحاً عاماً للتحقق.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJzdWIiOiI0MiIsIm5hbWUiOiJMYXlsYSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTc1NjcwMDAwMCwiZXhwIjoxNzU2NzAzNjAwfQ
.4l3Y2cYpXqZ0cVZ5m4Q8n1fGx0y8s3oT0kq4rV7cWvA

header  → {"alg":"HS256","typ":"JWT"}
payload → {"sub":"42","name":"Layla","role":"admin","iat":1756700000,"exp":1756703600}

جرّبها: مفكّك ترميز JWT

المطالبات القياسية ومعانيها

• iss (المُصدر) — من أنشأ الرمز، وعادةً عنوان خادم المصادقة.
• sub (الموضوع) — من يتحدث عنه الرمز، وغالباً معرّف المستخدم.
• aud (الجمهور) — الخدمة التي يُقصد بها الرمز. يجب على المتحقق رفض الرموز الموجهة لجمهور آخر.
• exp (انتهاء الصلاحية) — طابع Unix زمني يصبح الرمز بعده غير صالح. الأعمار القصيرة (دقائق لرموز الوصول) تحدّ من ضرر التسريب.
• nbf (ليس قبل) وiat (وقت الإصدار) — طوابع زمنية تحدد متى أصبح الرمز صالحاً ومتى أُنشئ.
• jti (معرّف JWT) — معرّف فريد يُستخدم لاكتشاف إعادة الاستخدام أو لإبطال رمز بعينه.
• المطالبات المخصصة — الأدوار والصلاحيات ومعرّف المستأجر والبريد الإلكتروني. أبقها صغيرة: يُرسل الرمز مع كل طلب.

جرّبها: محلّل مطالبات JWT جرّبها: فاحص انتهاء صلاحية JWT

فك الترميز ليس تحققاً

فك ترميز JWT يعني فك ترميز Base64URL للترويسة والحمولة لقراءتهما. يستطيع أي شخص فعل ذلك دون أي مفتاح — وهذا بالضبط سبب وجوب عدم الوثوق بحمولة مفكوكة الترميز بمفردها. أما التحقق فيعني إعادة حساب التوقيع بالمفتاح والخوارزمية الصحيحين والتأكد من تطابقه، ثم فحص exp وnbf وiss وaud.

أداة فك الترميز أونلاين هي الأداة المناسبة لقراءة رمز أثناء تصحيح الأخطاء: معرفة المستخدم الذي يسمّيه، والأدوار التي يحملها، وموعد انتهاء صلاحيته. لكنها ليست فحصاً أمنياً، والأداة التي تعمل داخل متصفحك هي النوع الوحيد الذي يجوز لصق رمز حقيقي فيه.

جرّبها: مفكّك ترميز JWT جرّبها: محلّل ترويسة JWT

HS256 مقابل RS256 مقابل ES256

• HS256 (HMAC مع SHA-256) — سر مشترك واحد يوقّع ويتحقق. بسيط وسريع ومناسب عندما تصدر خدمة واحدة الرموز وتستهلكها. كل طرف يستطيع التحقق يستطيع أيضاً التزوير.
• RS256 (توقيع RSA) — مفتاح خاص يوقّع ومفتاح عام يتحقق. تستطيع أي خدمة التحقق بالمفتاح العام المنشور (غالباً عبر نقطة نهاية JWKS) دون القدرة على إنشاء رموز. وهو الافتراضي لدى مزوّدي OAuth.
• ES256 (ECDSA مع P-256) — نموذج غير متماثل كـ RS256 بمفاتيح وتوقيعات أصغر بكثير.
• none — خوارزمية تعني «بلا توقيع». يجب على المتحققين رفضها؛ فقبول alg=none إحدى الثغرات الكلاسيكية في JWT.

جرّبها: مولّد JWT جرّبها: مولّد HMAC

قواعد أمان JWT

• تحقق من التوقيع وثبّت الخوارزمية في الخادم. لا تدع ترويسة الرمز نفسها تقرر الخوارزمية المستخدمة.
• افحص exp دائماً، وقارن aud وiss بقيمك الخاصة.
• لا تضع أسراراً أو كلمات مرور أو بيانات شخصية حساسة في الحمولة — فهي مقروءة لكل من يحمل الرمز. استخدم JWE إن احتجت إلى التشفير.
• أبقِ رموز الوصول قصيرة العمر واستخدم رمز تحديث للحصول على رموز جديدة.
• خزّن الرموز بحذر في المتصفحات: ملف تعريف ارتباط HttpOnly وSecure وSameSite أكثر أماناً من localStorage الذي يستطيع أي سكربت محقون قراءته.
• استخدم سراً قوياً لـ HS256 — 256 بت من العشوائية على الأقل، ولا تستخدم كلمة مرور أبداً.
• خطط للإبطال: يبقى JWT صالحاً حتى انتهاء صلاحيته، لذا يحتاج تسجيل الخروج أو الحساب المخترق إلى قائمة رفض (jti) أو أعمار قصيرة.

جرّبها: مولّد الأسرار العشوائية جرّبها: مفكّك ترميز رموز OAuth

JWT في OAuth 2.0 وOpenID Connect

غالباً ما تكون رموز وصول OAuth 2.0 من نوع JWT، وإن كانت المواصفة لا تشترط ذلك؛ أما رموز هوية OpenID Connect فهي كذلك دائماً. يصف رمز الهوية المستخدم المصادَق عليه (sub والبريد والاسم) لتطبيق العميل؛ بينما يمنح رمز الوصول العميل إذن استدعاء واجهة API (النطاق وaud). يُتحقق منهما بالطريقة نفسها، لكن يجب ألا يُرسل رمز الهوية إلى واجهة API كما لو كان رمز وصول.

جرّبها: مفكّك ترميز رموز OAuth

الأسئلة الشائعة