| 检查点 | alg 固定、密钥来源、exp/nbf、载荷敏感度、撤销 |
|---|---|
| 方法 | 解析自有令牌观察头与载荷 |
| 注意 | 只分析自有测试账号的令牌 |
解析示例
解析示例
echo '<自有测试令牌>' | cut -d. -f2 | base64 -d 2>/dev/null
# 观察：alg、iss、aud、exp、以及载荷中是否含敏感字段修复视角：服务端强制指定算法、密钥高熵且隔离保管、短有效期 + 刷新令牌轮换。
JWT 配置检查
检查 JWT 使用方式：签名算法固定、密钥强度、过期时间、敏感信息载荷、令牌撤销机制。
易错点
- 用生产用户令牌做解析与留存
- 把载荷可读（base64）当作漏洞，忽略签名保护语义
数据来源与参考
- RFC 7519（JWT）
- OWASP Cheat Sheet：JSON Web Token