أداة التحقق من توقيع JWT

يُستخدم السر كما أُدخل

يُقرأ حقل السر كنص UTF-8، حرفاً بحرف. وقد تؤدي مسافة أو فاصل سطر في النهاية نُسخ مع السر إلى فشل رمز صالح. تعرض بعض الأنظمة الأساسية مفتاح HMAC مشفراً بترميز Base64؛ وإذا فشل التحقق باستخدام مفتاح تعرف أنه صحيح، فعادةً ما يكون ذلك الترميز هو السبب، كما لا يمكن إدخال مفتاح بايتاته الخام ليست نصاً هنا.

يفرض RFC 7518 أن يكون مفتاح HMAC بطول لا يقل عن طول ناتج الهاش، أي 32 بايت لـ HS256، لذا تصلح الأسرار القصيرة مثل secret للاختبار فقط.

ما لا تخبرك به النتيجة الصحيحة

يغطي الفحص التوقيع فقط. سيظل الرمز الذي انتهت صلاحيته العام الماضي يظهر على أنه صالح، لذا قارن المطالبة exp بالوقت الحالي في صفحة الطابع الزمني لـ Unix، وتحقق من iss وaud مقارنةً بما تتوقعه خدمتك.

لا يتم هنا التحقق من الرموز الموقعة باستخدام RS256 أو ES256 أو أي خوارزمية أخرى تعتمد على مفتاح عام. فهي تحتاج إلى المفتاح العام للجهة المصدرة، الذي ينشره موفرو الهوية عادةً على هيئة JSON Web Key Set؛ بينما يواصل فك ترميز JWT قراءة مطالباتها.

طريقة الاستخدام

1. الصق سلسلة رمز JWT بترميز Base64.
2. أدخل مفتاح HMAC السري.
3. راجع الرأس والحمولة بعد فك ترميزهما، وشارة التحقق المباشر من التوقيع.

الخصوصية والقيود

تُعالَج الرموز والمفاتيح السرية بالكامل في ذاكرة العميل، ولا تُنقل مطلقًا عبر الشبكة.