كيف تعمل مصادقة JWT · خرائط ذهنية
كيف تعمل مصادقة JWT. خريطة ذهنية قابلة للتحرير تضم فروعًا ملونة وأفكارًا فرعية وروابط. توضح الخطوط المنحنية العلاقات، وتظهر الأسهم حين يكون للاتجاه معنى.
الـJSON Web Token بيان موقّع وقائم بذاته عن هويتك: ينشئه الخادم مرة واحدة عند تسجيل الدخول، ثم يثبت كل طلب لاحق نفسه بالرمز بدل الاستعلام عن جلسة.
كيف تعمل مصادقة JWT · خرائط ذهنية
لوحة MindMap التفاعلية لهذا الشرح — كل مسار وصف وسهم أعلاه جزء من مخطط QueryChart حقيقي يمكنك فتحه وتعديله.
كيفية قراءة الخريطة الذهنية
- ابدأ بالموضوع في المركز، ثم اتبع أحد الفروع الملونة لاستكشاف الأفكار المرتبطة به.
- توضح الخطوط المنحنية العلاقات، وتظهر الأسهم حين يكون للاتجاه معنى.
Sign in
يجمع هذا الفرع “User submits email and password”, “Credentials valid?”, “Sign-in rejected”, “Server verifies the credentials against the database”.
Build token
يجمع هذا الفرع “A JWT is three dot-separated parts: a header (algorithm), a payload of claims (who the user is, when the token expires), and a signature. The payload is readable by anyone — it is not secret, it is tamper-evident.”, “Server signs the token with its secret key”.
Client carries JWT
يجمع هذا الفرع “Client receives the JWT and stores it”, “Client sends the JWT in the Authorization header”.
Verify
يجمع هذا الفرع “Because the server never stores session state, this check is what makes JWT authentication “stateless” — no session table to look up on every request.”, “Signature valid and not expired?”.
Authorize or reject
يجمع هذا الفرع “Server trusts the claims and processes the request”, “Request rejected with 401”.
روابط بين الفروع
الـJWT ثلاثة أجزاء (ترويسة وحمولة وتوقيع) تصلها نقاط؛ والحمولة قابلة للقراءة لكن أي عبث بها ينكشف.
التوقيع يحوّل الهوية إلى قدرة: فحيازة رمز صالح لم تنته صلاحيته هي ما يصادق على الطلب.
التحقّق يجري دون حالة مخزّنة، فإعادة حساب التوقيع تحلّ محلّ الاستعلام عن الجلسة.
على العميل أن يخزّن الرمز بأمان وأن يرسله مع كل طلب، فانتهاء صلاحيته هو الحد الأمني الحقيقي.
يتكامل JWT مع OAuth: فـOAuth يقرّر ما يجوز للعميل فعله، وJWT صيغة شائعة للرمز الذي يحمل ذلك القرار.
العلاقات الرئيسية والخلاصات
- الـJWT ثلاثة أجزاء (ترويسة وحمولة وتوقيع) تصلها نقاط؛ والحمولة قابلة للقراءة لكن أي عبث بها ينكشف.
- التوقيع يحوّل الهوية إلى قدرة: فحيازة رمز صالح لم تنته صلاحيته هي ما يصادق على الطلب.
- التحقّق يجري دون حالة مخزّنة، فإعادة حساب التوقيع تحلّ محلّ الاستعلام عن الجلسة.
- على العميل أن يخزّن الرمز بأمان وأن يرسله مع كل طلب، فانتهاء صلاحيته هو الحد الأمني الحقيقي.
- يتكامل JWT مع OAuth: فـOAuth يقرّر ما يجوز للعميل فعله، وJWT صيغة شائعة للرمز الذي يحمل ذلك القرار.
متى تستخدم هذا الشرح المرئي
- تعليم فريق خلفية جديد لماذا لا حاجة إلى جدول جلسات، وما الذي يثبته التوقيع فعلاً.
- الاختيار بين JWT والجلسات المخزّنة على الخادم لخدمة يجعل فيها التوسّع الأفقي الحالة المشتركة عبئاً.
- مراجعة مطالبات الرمز (انتهاء الصلاحية والمُصدِر والجمهور) قبل الوثوق به داخل خدمة مصغّرة.
كيف تعمل
عدّل الموضوع المركزي
غيّر اسم الموضوع ليناسب مشروعك أو درسك.
وسّع الفروع
حرر الأفكار وأضف أمثلة أو ملاحظات.
اربط الأفكار ذات الصلة
ارسم روابط بين الفروع، واستخدم الأسهم عندما يكون الاتجاه مهمًا.
الأسئلة الشائعة
ما هو JWT وماذا يحتوي؟
الـJSON Web Token سلسلة نصية من ثلاثة أجزاء تفصلها نقاط: ترويسة تذكر خوارزمية التوقيع، وحمولة من المطالبات عن المستخدم وعن عمر الرمز، وتوقيع. والترويسة والحمولة هما JSON مُرمَّز بـbase64 (يستطيع أي أحد قراءتهما) والتوقيع هو ما يمنع تغييرهما بلا مفتاح التوقيع.
لماذا تُسمّى مصادقة JWT عديمة الحالة؟
لأن الخادم لا يخزّن شيئاً عن الجلسة. فكل طلب يصل ومعه الرمز، ويتحقّق الخادم من التوقيع ومن انتهاء الصلاحية في الحال. فلا جدول جلسات يُستعلم عنه ولا حالة تُنسخ بين الخوادم، وهذا ما يجعل هذا الأسلوب قابلاً للتوسّع أفقياً. والثمن أن الرمز لا يمكن إلغاؤه قبل انتهاء صلاحيته دون آلية إضافية.
هل يبقى JWT آمناً إذا كان بإمكان أي أحد قراءة الحمولة؟
القراءة والثقة أمران مختلفان. الحمولة غير مشفَّرة (فلا تضع فيها أسراراً) لكن التوقيع يعني أن أي تعديل يُبطل الرمز، فلا يستطيع العميل تغيير مطالباته الخاصة. وأما أمان النقل فالرمز ينتقل داخل HTTPS، والبيانات التي يمنح الوصول إليها يحميها خادم الموارد بفرضه المطالبات.
ما العلاقة بين JWT وOAuth؟
كل منهما يحلّ نصفاً مختلفاً من المشكلة. فـOAuth هو بروتوكول التفويض: أي كيف يحصل العميل على الإذن وعلى الرمز. وJWT صيغة رمز. وفي الواقع كثيراً ما تكون رموز وصول OAuth بصيغة JWT: يوقّع خادم التفويض رمز JWT يحمل الصلاحيات، وتتحقّق منه خوادم الموارد. وتغطّي هذه اللوحة نصف المصادقة؛ أما الشرح المرئي الخاص بـOAuth فيغطّي نصف التفويض بالإنابة.
حرر هذه الخريطة الذهنية في QueryChart
افتح الخريطة على لوحة قابلة للتحرير. انقل الأفكار وأضف فروعًا وروابط.