ما هو JWT؟

JSON Web Token هو سلسلة تتكوّن من ثلاثة أجزاء مُرمّزة بصيغة Base64URL ومفصولة بنقاط: header.payload.signature. يحدد Header النوع والخوارزمية (مثل HS256 أو RS256). يحتوي Payload على Claims مثل iss (المُصدر)، sub (الموضوع)، aud (الجمهور)، exp (تاريخ الانتهاء)، إضافةً إلى الحقول المخصصة. يتم احتساب التوقيع بناءً على الـ Header والـ Payload باستخدام مفتاح سري مشترك (HMAC) أو مفتاح خاص (RSA/ECDSA)، مما يسمح بالتحقق من سلامة البيانات وأصالتها دون الحاجة لتخزين حالة على الخادم.

كيف تعمل JWTs

يقوم الخادم بمصادقة المستخدم، ثم يُنشئ رمزًا موقّعًا ويُعيده إلى العميل. يرسل العميل الرمز ضمن Authorization: Bearer <JWT>. يتحقق الخادم من التوقيع، ويفحص exp وnbf، ثم يطبّق التفويض بناءً على الأدوار أو الصلاحيات. وبما أن JWT تحتوي على بياناتها ذاتيًا، فهي مناسبة للأنظمة الموزعة وmicroservices وCDNs، لكنها تتطلب تدويرًا دوريًا للمفاتيح، وفترات صلاحية قصيرة، وتصميمًا دقيقًا للـ Claims لتجنب تضخم البيانات أو تسريب معلومات.

حول أداة JWT Creator

اختر HS256/HS384/HS512 لاستخدام HMAC بمفتاح سري مشترك، أو RS256/ES256 لاستخدام مفاتيح غير متماثلة. عيّن Claims القياسية (iss, sub, aud, exp, nbf, iat, jti) وأضف Claims مخصصة، ثم وقّع الرمز لإنتاج JWT. يمكنك نسخ الرمز واستخدامه مع curl أو أي عميل HTTP لاختبار نقاط النهاية المحمية. لا تعرض مفاتيح حقيقية داخل المتصفح، ولا تخزّن المفاتيح الخاصة في كود العميل.

FAQ