JSON Web Token (JWT) هو token مُدمَج وآمن للـ URL ومكتفٍ ذاتيًا، يحمل claims عن المستخدم. يوقّعه الخادم مرة واحدة؛ وبعد ذلك يستطيع التحقّق من الـ token في كل طلب دون البحث في قاعدة البيانات — وهذا ما يجعل المصادقة القائمة على JWT stateless.
الـ JWT هو header.payload.signature، ثلاثة مقاطع مُرمَّزة بـ base64url مفصولة بنقاط:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/user id)، وexp (انتهاء الصلاحية)، وiat (وقت الإصدار)، وiss (المُصدِر)، إضافةً إلى أي حقول مخصّصة (role، email).الـ payload مُرمَّز (encoded) لا مُشفَّر (encrypted). يستطيع أي أحد فكّ ترميزه بـ base64 وقراءته، لذا لا تضع أبدًا كلمات مرور أو أسرارًا في JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
في كل طلب يعيد الخادم حساب الـ signature على الـ header+payload المستلَم ويقارنها. إن تطابقا وكان exp في المستقبل، يُوثَق بالـ token — دون الحاجة إلى مخزن sessions.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // يرمي استثناءً إذا عُبِث به أو انتهت صلاحيته
// claims.sub === "123"
} catch (e) {
// ارفض: غير صالح أو منتهي الصلاحية
}
لأن التحقّق stateless، لا تستطيع إبطال token قبل انتهاء صلاحيته بمجرد "حذفه" من جهة الخادم. أساليب التخفيف الشائعة:
jti) لتسجيل الخروج/الاختراق — وهذا يعيد إدخال قليل من الـ state.| التخزين | الميزة | العيب |
|---|---|---|
كوكي httpOnly | لا تقرأه JS (أأمن ضد XSS) | يحتاج حماية من CSRF |
localStorage | بسيط، بلا CSRF | معرَّض لـ XSS |
تُشغّل JWTs المصادقة الـ stateless عبر الـ APIs والـ microservices والـ SPAs — تستطيع خدمة الوثوق بطلب بمجرد التحقّق من signature وحدها، دون مخزن sessions مشترك. لكن هذه الـ statelessness نفسها هي فخّ المقابلة الكلاسيكي: لا يمكن إبطال الـ tokens بسهولة، والـ payload قابل للقراءة، ولبس alg أو غياب فحص انتهاء الصلاحية ثغرات حقيقية. معرفة ما يحميه الـ signature بالضبط، وما لا يحميه، أساسية لاستخدام JWTs بأمان.
مكتبة من أسئلة مقابلات تقنية المعلومات مع إجابات مفصّلة — من المبتدئ إلى المتقدم.
تبرع