أدوات المطوّرون

أدوات المطورين - الألوان والبصمات والطوابع الزمنية ورموز JWT

آخر تحديث: 30 سبتمبر 2026 · بقلم سامان

هذا قسم التحويلات الصغيرة التي تقاطع العمل الحقيقي. التصميم يعطيك لوناً بصيغة HEX وCSS يريد HSL. وسطر سجل يحمل طابعاً زمنياً يونكسياً وعليك أن تعرف كم كانت الساعة في منطقتك. وواجهة برمجية ترجع رمزاً وعليك أن ترى ما بداخله. وصفحة تنزيل تنشر بصمة SHA-256 وعليك التحقق من الملف. لا شيء من ذلك صعب؛ وكله مزعج يدوياً، والأربعة تعمل هنا بلا حساب.

ما الذي يضمه هذا القسم

صيغ الألوان ولماذا يستحق HSL المعرفة

تصف HEX وRGB الشيء نفسه تماماً بخطين مختلفين: فالقيمة #4F46E5 هي rgb(79, 70, 229)، ثلاث قنوات من 0 إلى 255 مكتوبة بالنظام الست عشري بدل العشري. والتحويل بينهما ميكانيكي.

أما HSL فنموذج مختلف حقاً، ومن هنا يستحق مكانه. فهو يصف اللون بـالصبغة (موقعه على عجلة الألوان، من 0 إلى 360)، والتشبع (مدى حيويته، من 0 إلى 100٪)، والإضاءة (من 0 إلى 100٪). والمكسب العملي: تعتيم لون بنسبة 10٪ لحالة التمرير تغيير واحد في رقم واحد، وبناء لوحة من درجات متقاربة يعني تثبيت الصبغة والتشبع والتنقل في الإضاءة. أما فعل الشيء نفسه بصيغة HEX فيعني إعادة حساب ثلاث قنوات والتخمين.

والتباين هو السبب الآخر. فالنص يحتاج نسبة تباين لا تقل عن 4.5 إلى 1 مع خلفيته ليستوفي معيار WCAG AA بالأحجام العادية. والإضاءة في HSL تتنبأ بموقعك أفضل بكثير من التحديق في شفرة ست عشرية.

البصمات: فيمَ تفيد وفيمَ لا تفيد

دالة البصمة تحوّل أي دخل إلى بصمة ثابتة الطول. الدخل نفسه يعطي دائماً الخرج نفسه؛ وتغيير محرف واحد يعطي خرجاً مختلفاً تماماً؛ ولا يمكن الرجوع من البصمة إلى الدخل. وهذا يجعل البصمات الأداة الصحيحة للتحقق من السلامة والأداة الخاطئة لتخزين كلمات المرور.

الاستعمال اليومي هو التحقق من تنزيل: ينشر الموقع بصمة SHA-256، فتحسب أنت بصمة الملف الذي استلمته بـمولّد البصمات، فإما أن تتطابق السلسلتان محرفاً محرفاً وإما لا. وهذا يلتقط التنزيل المبتور والمرآة المتلاعب بها على السواء.

أما ما لا تصلح له البصمات فهو كلمات المرور. فبصمة SHA-256 بسيطة لكلمة مرور يمكن مهاجمتها بمليارات المحاولات في الثانية على عتاد عادي. وتخزين كلمات المرور يتطلب دالة بطيئة ومملّحة ومصممة لهذا الغرض - bcrypt أو scrypt أو Argon2 - مكلفة عن قصد. فإن كنت تبصم كلمة مرور بأي شيء من الجدول أعلاه، فتلك علة. ولهذا الغرض بالذات يضم مولّد البصمات تبويباً لـ bcrypt: يصنع بصمة bcrypt بمعامل الكلفة الذي تختاره، ويتحقق من كلمة مرور مقابل بصمة مخزّنة، وصفحة bcrypt تفتحه مباشرة.

الطوابع الزمنية اليونكسية وارتباك المناطق

يعدّ الطابع الزمني اليونكسي الثواني منذ منتصف ليل التوقيت العالمي في الأول من يناير 1970. وهو بلا منطقة زمنية، ولهذا تحديداً تستعمله الأنظمة: فهو لحظة واحدة لا لبس فيها، وكل لغة تستطيع تحويله إلى الوقت المحلي للعرض. والرقم من عشر خانات ثوانٍ؛ والرقم من ثلاث عشرة خانة مللي ثوانٍ، وهو ما ترجعه Date.now() في جافاسكريبت، وسبب شائع جداً لحطّ التواريخ في 1970 أو في العام 55000.

ومحوّل الطوابع الزمنية يعمل في الاتجاهين ويعرض الناتج بالتوقيت العالمي إلى جانب وقتك المحلي، وهي عادة المقارنة التي تحتاجها فعلاً عند قراءة سجل كُتب على خادم في منطقة أخرى. وثمة تاريخان يستحقان المعرفة: 2147483647 هو آخر ثانية يسع طابع زمني بـ32 بت ذي إشارة أن يحملها، في يناير 2038، و0 هو المبدأ نفسه - فطابع زمني بقيمة صفر أو تاريخ الأول من يناير 1970 يعني في الغالب الأعم أن قيمة لم تُضبط قط.

قراءة رمز JWT

رمز JSON Web ثلاثة مقاطع Base64 آمنة للروابط تفصلها نقاط: ترويسة تذكر الخوارزمية التي وقّعته، وحمولة من الادعاءات، وتوقيع. ومفكِّك JWT يفصلها ويعرض الأولين بصيغة JSON مقروءة، مع تحويل exp وiat إلى تواريخ - وهو عادة كل السؤال حين يُرفض طلب ما.

ونقطتان لا بد من وضوحهما. الأولى أن الحمولة غير مشفّرة. فكل من يملك الرمز يستطيع قراءة كل ادعاء فيه، ومن ثم فرمز JWT ليس مكاناً لأي شيء خاص. والثانية أن فك الترميز ليس تحققاً: فقراءة الادعاءات تخبرك بما يزعمه الرمز، لا بصحة التوقيع. ولا يستطيع الإجابة عن ذلك إلا الخادم الذي يملك المفتاح، ولا ينبغي لأي أداة متصفح أن تطلب منك لصق سر التوقيع لمعرفة ذلك.

ولأن الرمز بيانات اعتماد حية ما دام صالحاً، فإن المكان الذي تلصقه فيه يهم. وهذا المفكِّك يعمل بالكامل داخل متصفحك - تحلّل جافاسكريبت الرمز على جهازك ولا يُرسل شيء إلى أي مكان، ويمكنك تأكيد ذلك في لوحة الشبكة.

أقسام ذات صلة

• أدوات الترميز - تحت كل رمز JWT يقبع ترميز Base64 الآمن للروابط، ومعرفة ذلك تفسر معظم إخفاقات فك الترميز.
• المولّدات - تنتج المعرفات والأسرار التي تفحصها هذه الأدوات لاحقاً.
• أدوات النصوص - نسّق JSON الخارج من حمولة مفكوكة.
• أدوات الصور - حوّل الأصول وأنت ماض في مهمة التصميم نفسها.