فك ترميز JWT

لا، وهذا مهم نقوله بصراحة. التحقق من التوقيع يحتاج المفتاح السري أو العام اللي أنشأ التوكن، وهذي الأداة ما تطلبه منك ولا يفترض تحطه بمتصفح أصلًا — مفتاح كذا لازم يبقى بسيرفرك بس. "فك الترميز بنجاح" معناه إن الأجزاء الثلاثة صياغتها صحيحة وقريناها، مو إن التوكن أصلي أو موثوق. أي حد يقدر يصنع توكن بأي محتوى يبيه — التوقيع هو اللي يثبت مين أصدره، وده تحقق لازم يصير عند الطرف اللي يعرف المفتاح.

الثلاثة تواريخ مخزّنة كثانية منذ 1970 (Unix time): iat وقت إصدار التوكن، nbf أقرب وقت يصير صالح فيه (not before)، وexp وقت انتهاء صلاحيته. لو أي منها موجود بالـ Payload، نحوّله لتاريخ مقروء تحت صندوق الـ Payload.

"none" يعني التوكن نفسه يدّعي إنه بلا توقيع أصلًا. هذي ثغرة معروفة تاريخيًا: بعض المكتبات كانت تصدّق ادّعاء الـ Header عن خوارزميته وتقبل توكن بلا أي توقيع كأنه موثوق. نطلع التحذير حتى لو كتبت "None" أو "NONE" بأحرف مختلفة، لأن هجمات حقيقية استخدمت هالخدعة بالضبط.

نعرض قيمة exp كتاريخ مقروء تحت صندوق الـ Payload، وعليك تقارنها بالوقت الحالي بنفسك — ما نقارن التوكن بساعة جهازك ولا نطلع "منتهي" أو "صالح"، لأن هذا حكم يعتمد على متى تقرأ النتيجة، مو على محتوى التوكن نفسه.

لا. الأداة تقرأ بس — تفك الترميز وتعرضه، ولا تعيد التوقيع ولا تصدر توكن جديد. تعديل صندوق الـ Payload ما يغيّر التوكن الأصلي ولا ينشئ واحد صالح؛ التوقيع يخليه غير قابل للتعديل بدون المفتاح السري أصلًا.

لا، ولا حرف. فك الترميز كله يصير داخل متصفحك من أول حرف تلصقه.