تخطي إلى المحتوى الرئيسي
أدوات الفحص

عارض شجرة JWT

يفك JWT مضغوطاً محلياً ويعرض كائنات ومصفوفات الرأس والحمولة المتداخلة كشجرة قابلة للطي مع أنواع القيم، من دون حكم على الأصالة. مفيد لفهم بنية JWT المعقدة واستكشاف المطالبات المتداخلة. يدعم فتح وإغلاق الفروع مع نسخ المسارات.

أدوات JWT

باختصار

تستخدم الشجرة مفكك المقاطع الثلاثة نفسه؛ تشرح شكل المطالبات لكنها لا تثبت التوقيع أو التفويض.

ما الذي تدعمه الأداة

  • يستخدم مفكك JWT المشترك: ثلاثة مقاطع Base64URL بالضبط ورأس وحمولة ككائني JSON بترميز UTF-8.
  • يعرض الجذرين منفصلين، ويوسّع الكائنات والمصفوفات تكراريًا، ويميز string وnumber وboolean وnull والمصفوفة والكائن.
  • يوفر فكًا حيًا وزر عرض الشجرة واللصق والمسح وعينة HS256؛ يبدأ الجذر والمستوى الأول مفتوحين.
  • يعرض البنية فقط؛ لا يعرض hex للتوقيع ولا يفحص مفتاحًا أو المصدر/الجمهور أو قرار التفويض.

كيفية استخدام عارض شجرة JWT

اتبع سير العمل الخاص بتنفيذ عارض شجرة JWT؛ فكل خطوة تعكس عناصر التحكم والحدود الفعلية في مساحة عمل المتصفح.

  1. 1

    الخطوة 1

    أدخل المصدر بدقة

    ألصق JWT الكامل ذي المقاطع الثلاثة بلا Bearer أو حمّل العينة.

  2. 2

    الخطوة 2

    اختر العملية

    اترك Live للفك الفوري، أو عطّله واضغط عرض الشجرة بعد اكتمال الإدخال.

  3. 3

    الخطوة 3

    اضبط الخيارات المتاحة

    دع المفكك المشترك يقرأ الرأس والحمولة ككائني JSON من Base64URL وUTF-8.

  4. 4

    الخطوة 4

    نفّذ العملية محليًا

    وسّع الفروع وقارن مسار كل مفتاح ونوعه وقيمته بمخطط المطالبات المتوقع.

  5. 5

    الخطوة 5

    تحقق من النتيجة ثم تابع

    استخدم JWT Decoder للتوقيت وJWT Verifier للتحقق من HMAC مع الرمز نفسه.

الأخطاء الشائعة

استخدام الشجرة كحكم على التوقيع

النتيجة: تعرض JSON الذي يتحكم فيه المهاجم كما تعرض JSON الموقع ولا تستدعي دالة التحقق.

الإصلاح: استخدمها لتشخيص البنية فقط وتحقق من الرمز المضغوط منفصلًا.

البحث عن التوقيع داخل الشجرة

النتيجة: لا يُمرر إلى العرض إلا الرأس والحمولة؛ المقطع الثالث غير ظاهر هنا.

الإصلاح: استخدم JWT Decoder لعرض البايتات أو JWT Verifier لحكم HMAC.

توسيع حمولة غريبة شديدة العمق كلها

النتيجة: ينشئ كل عنصر عقد React تكرارية ولا تفرض الواجهة حدًا للعمق أو المفاتيح، فيمكن أن تتوقف علامة التبويب.

الإصلاح: افحص الرموز الضخمة في بيئة مضبوطة واترك الفروع غير اللازمة مطوية.

أفضل الممارسات

  • قارن التسلسل الهرمي والأنواع بمخطط موثق للتطبيق بدل استنتاج المعنى من الأسماء.
  • افحص المصفوفات وكائنات roles/scopes المتداخلة بحثًا عن تغيّر نوع تخفيه القائمة المسطحة.
  • أبقِ الرمز الأصلي سريًا ودون تعديل حتى يكتمل التوقيع والمصدر والجمهور والعمر.

سير العمل المرتبط

تتبّع مطالبة متداخلة حتى التحقق

مفكك JWTعارض شجرة JWTمحقق HMAC JWTاختبار مسار JSON

افك الرمز وحدد مسار المطالبة ونوع JSON بدقة، ثم تحقق من الأصالة وسياسة التطبيق قبل الاستخدام.

  1. فك الرمز
  2. فتح الفرع المطلوب
  3. تسجيل المسار والنوع
  4. التحقق من التوقيع
  5. مطابقة مخطط التطبيق

قيود المتصفح

  • يرفض JWE وJSON غير الكائني وأحرف Base64URL الخاطئة وأي رمز ليس من ثلاثة أجزاء.
  • لا بحث أو JSON Pointer أو حد عمق أو virtualization أو schema أو توقيع أو تشفير.
  • قد تنشئ المصفوفات الكبيرة والكائنات العميقة DOM ضخمًا وتحجب main thread.

المراجع الموثوقة

RFC 7519: JSON Web Token (JWT)الناشر: IETF / RFC Editor · تاريخ المراجعة: 2026-07-26

أمثلة عملية

الإدخال
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjMiLCJwcm9maWxlIjp7Im5hbWUiOiJBZGEiLCJhZG1pbiI6dHJ1ZX19.signature
النتيجة
تحتوي الحمولة على كائن profile متداخل فيه name نص وadmin قيمة منطقية.

الرأس والحمولة كائنان صالحان؛ مقطع signature النصي مقبول بنيويًا لكنه غير معروض أو متحقق.

الأسئلة الشائعة

لماذا تبدأ بعض عقد JWT مفتوحة؟

يفتح الجذر وأول مستوى متداخل افتراضيًا؛ تبدأ المستويات الأعمق مطوية لتقليل الضوضاء.

هل تحدد الشجرة صلاحية مطالبة role؟

لا. تظهر النوع والمسار فقط؛ المعنى يأتي من سياسة تفويض التطبيق بعد التحقق.

هل تدعم المصفوفات داخل الحمولة؟

نعم. تظهر بعقد ذات فهارس وعدد عند الطي، بينما تستخدم الكائنات أسماء المفاتيح.

لماذا يفشل رمز من خمسة أجزاء قبل ظهور الشجرة؟

لأنه غالبًا JWE غير مدعوم؛ المفكك يطلب ثلاثة أجزاء بالضبط.

هل من الآمن فحص alg=none هنا؟

يمكن فحصه كبيانات لا الوثوق به؛ لا تقدم الشجرة حكم توقيع ويجب رفض غير الموقع ما لم يفرض بروتوكول آمن خلاف ذلك.

الخصوصية والعمل دون اتصال

يبقى نص الرمز والشجرة في المتصفح ويعملان دون اتصال بعد التخزين. لا يُقرأ الحافظة إلا بالضغط على لصق، ولا يوجد رفع أو سجل دائم لهذه المساحة.