常见漏洞验证121 条

JWT 算法相关风险检查

历史问题集中在算法混淆与密钥强度：服务端若未固定算法，可能接受非预期算法；检查服务端校验逻辑与密钥管理。

核查方式（以代码走查为主）

1. 查看令牌校验代码：算法是否写死
2. 核对密钥来源与长度（不同环境是否复用）
3. 确认过期与签发者校验是否开启
4. 动态验证仅使用自有账号令牌做对照

不构造混淆算法令牌对生产验证；以代码走查与自有环境复现为主。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌