接口与性能测试66 条

JWT 令牌测试

JWT 测试要点：签名算法校验（拒绝 none 与算法混淆）、exp/nbf 时间窗、aud/iss 校验、密钥轮换后的兼容、错误令牌返回 401；载荷可解码但不可被信任。

令牌结构

JWT 结构：header.payload.signature
测试用例：过期 exp / 未来 nbf / 错误 aud /
          伪造签名 / 算法替换（none、RS256 与 HS256 混淆）

仅解码 payload 就当作可信数据使用是常见缺陷；服务端必须完成签名与声明校验。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌