يتحقق من توقيع JWT باستخدام HMAC-SHA256/384/512 محلياً عبر Web Crypto API. مفيد للتحقق من سلامة JWT قبل استخدامها في التطبيقات. يوفر تشخيص مفصلاً لحالة التحقق.
أدوات JWT
رمز JWT
السحب والإفلات مدعوم
نتيجة التحقق
الصق رمز JWT على اليسار.
يفحص تكامل HMAC لـHS256/384/512 والتوقيت الأساسي فقط؛ لا يدعم RSA/ECDSA أو المصدر أو الجمهور أو nonce أو التفويض.
اتبع سير العمل الخاص بتنفيذ محقق HMAC JWT؛ فكل خطوة تعكس عناصر التحكم والحدود الفعلية في مساحة عمل المتصفح.
الخطوة 1
ألصق أو استورد الرمز المضغوط الأصلي ذي المقاطع الثلاثة وحافظ على بايتات header.payload.
الخطوة 2
أكد أن alg هي HS256/384/512 وأدخل الـsecret المشترك كنص حرفي، لا Base64 أو hex إلا إذا كانت تلك الأحرف هي المفتاح نفسه.
الخطوة 3
اترك Live أو اضغط تحقق لتنفيذ Web Crypto على Signing Input الأصلي.
الخطوة 4
راجع البنية والخوارزمية وحكم التوقيع وأخطاء exp/nbf وتحذير iat كلًا على حدة.
الخطوة 5
قبل القبول، طبّق سياسة الخوارزمية والمصدر والجمهور وnonce والسماح الزمني والتفويض في التطبيق الفعلي.
النتيجة: يحوّل TextEncoder الأحرف نفسها إلى UTF-8، فلا تطابق بايتات المفتاح الممثلة.
الإصلاح: أدخل النص الحرفي الذي استخدمه المصدر أو استخدم متحققًا يستورد تمثيل المفتاح صراحة.
النتيجة: قد تصح البنية والـsecret مفقود أو alg غير مدعومة أو HMAC لا يطابق.
الإصلاح: اطلب حكم Signature: Valid صريحًا وافحص الأخطاء والتحذيرات.
النتيجة: تحتاج الخوارزميات غير المتماثلة مفتاحًا عامًا واستيرادًا مناسبًا؛ هنا HMAC-SHA-2 فقط.
الإصلاح: استخدم مكتبة JOSE محدثة مع JWK/JWKS موثوق وسياسة صارمة.
افحص alg والمطالبات، ثم تحقق من التوقيع المضغوط بالـsecret الصحيح، وبعده طبّق سياسة المصدر والجمهور في الخدمة.
التوقيع HMAC-SHA-256 على أول مقطعين بمفتاح UTF-8 your-256-bit-secret؛ لا توجد exp.
HS256 وHS384 وHS512 فقط؛ تعيد alg الأخرى “غير مفحوص” مع تحذير حتى لو صحت البنية.
لا. يجب أن يثق API بالمفتاح والمصدر ويطلب الجمهور والخوارزمية ويفحص العمر وnonce ويفوض الموضوع والنطاقات.
يحوّل TextEncoder الأحرف المكتوبة كما هي إلى UTF-8، بلا فك Base64 أو hex أو JWK أو KDF.
التكامل والعمر مستقلان؛ exp عند أو قبل ثانية Unix الحالية تضيف خطأ حتى مع HMAC صحيح.
لا. يحتوي البنية والخوارزمية وحالة التوقيع فقط، لكن يبقى الـsecret في الحقل والذاكرة حتى تمسحه.
يستخدم Web Crypto الرمز والـsecret في ذاكرة المتصفح فقط، ولا يرفعهما أو يضع الـsecret في التقرير المنزّل. امسح الحقلين وسجل الحافظة بعد الانتهاء.
