当前位置： 首页 > news >正文

如何测试JWT的安全性：全面防御JSON Web Token的安全漏洞

news 来源：原创 2025/6/29 17:15:43

在当今的Web应用安全领域，JSON Web Token(JWT)已成为身份认证的主流方案，但OWASP统计显示，错误配置的JWT导致的安全事件占比高达42%。本文将系统性地介绍JWT安全测试的方法论，通过真实案例剖析典型漏洞，帮助我们构建全面的JWT安全防御体系。

一、JWT基础安全测试

1. 算法验证测试

测试方法：

  • 修改JWT头部的alg字段为none

  • 尝试删除签名部分

  • 使用不同算法重新签名

典型案例：
某政务系统未校验alg字段，攻击者将RS256改为HS256后，使用公开的公钥重新签名通过验证。正确实现应固定算法类型。

2. 密钥强度测试

测试要点：

  • 检查HS256密钥长度是否≥32字节

  • 验证RS256密钥长度是否≥2048位

  • 测试密钥是否出现在历史版本或文档中

实例分析：
某P2P平台使用"company@123"作为HS256密钥，被暴力破解工具在15分钟内破解。应采用加密安全的随机密钥。

二、Payload安全测试

1. 声明篡改测试

测试步骤：

  1. 获取普通用户JWT：{"role":"user"}

  2. 修改为{"role":"admin"}

  3. 不重新签名直接提交

预期结果：
服务端应拒绝签名不匹配的Token

2. 敏感信息泄露

检查内容：

  • 是否包含邮箱、手机号等PII信息

  • 是否存在密码哈希或安全答案

  • 是否暴露内部系统信息

真实案例：
某医疗平台JWT包含患者身份证号，违反GDPR规定。应仅存储用户ID等引用信息。

三、签名验证测试

1. 签名绕过技术

测试矩阵：

攻击方式测试方法防御措施
空签名删除签名部分必须存在有效签名
弱算法改用MD5等废弃算法白名单限制可用算法
密钥混淆用公钥作为HS256密钥算法与密钥类型严格匹配

2. 签名时效性测试

测试场景：

  1. 获取有效JWT

  2. 服务端轮换密钥

  3. 验证旧签名JWT是否被拒绝

金融行业案例：
支付宝每月轮换签名密钥，旧Token最多可续期7天，确保平滑过渡。

四、时效控制测试

1. 过期时间(exp)测试

测试步骤：

  1. 修改设备时间至exp之后

  2. 使用原JWT请求

  3. 恢复时间再次请求

正确行为：
服务端应基于自身时间校验，拒绝过期Token

2. 生效时间(nbf)测试

测试方法：

  1. 设置nbf为未来时间

  2. 尝试提前使用

  3. 到达nbf时间后验证

物联网应用案例：
智能家居设备预置nbf为激活日期，防止出厂前被恶意使用。

五、安全头与传输测试

1. 传输安全测试

必须验证：

  • 是否仅通过HTTPS传输

  • 是否出现在URL参数中

  • 是否被写入浏览器历史记录

渗透案例：
某电商将JWT放在/api?token=xxx导致搜索引擎收录泄露。应使用Authorization头。

2. 存储安全测试

测试要点：

  • Web应用是否使用HttpOnly Cookie

  • 移动端是否使用安全存储(Secure Enclave)

  • 是否存在XSS窃取风险

六、高级安全测试

1. 密钥注入测试

测试方法：

  • 尝试使用空密钥

  • 测试常见默认密钥(如"secret")

  • 检查密钥轮换漏洞

JWT工具支持：
使用jwt_tool进行自动化密钥爆破测试

2. 标头参数注入

测试参数：

  • jku(JWK Set URL)：指向恶意公钥

  • kid：密钥标识注入(SQLi/XSS)

  • x5u：伪造证书链

防御方案：
严格白名单控制外部引用

七、测试工具与流程

1. 推荐测试工具

  • jwt_tool：自动化漏洞扫描

  • Burp Suite：拦截修改请求

  • Postman：构造异常JWT

  • OWASP ZAP：自动化安全扫描

2. 测试流程示例

八、总结——构建JWT的深度防御

有效的JWT安全防护需要：

  1. 全生命周期测试：生成→传输→验证→销毁

  2. 自动化巡检：纳入CI/CD流水线

  3. 实时监控：异常JWT使用告警

  4. 持续教育：开发团队安全培训

通过系统化的安全测试，我们能够充分发挥JWT的优势，在便利性和安全性之间找到最佳平衡点。

相关文章：

如何测试JWT的安全性：全面防御JSON Web Token的安全漏洞

在当今的Web应用安全领域，JSON Web Token(JWT)已成为身份认证的主流方案，但OWASP统计显示，错误配置的JWT导致的安全事件占比高达42%。本文将系统性地介绍JWT安全测试的方法论，通过真实案例剖析典型漏洞，帮助我们构建全…...

编程日记 2025/6/29 17:15:43

华为昇腾开发——多模型资源管理（C++）

使用ACLLite进行多模型资源管理（C++实现） 在使用Ascend ACL（Ascend Computing Language）的ACLLite库进行多模型推理时，合理的资源管理至关重要。以下是如何在C++中实现多模型资源管理的方案： 1. 资源管理基础 首先，我们需要理解Ascend平台的关键资源： 设备(Device)资…...

编程日记 2025/6/27 22:54:29

【开源解析】基于深度学习的双色球预测系统：从数据获取到可视化分析

基于深度学习的双色球预测系统：从数据获取到可视化分析 🌈 个人主页：创客白泽 - CSDN博客 🔥 系列专栏：🐍《Python开源项目实战》 💡 热爱不止于代码，热情源自每一个灵感闪现的夜晚。…...

编程日记 2025/6/29 17:10:13

【RAG】ragflow源码亮点：文档embedding向量化加权融合

引言： 最近在看ragflow源码，其中有一个较为巧妙地设计：分别将 文字 、 标题 行向量化 之后，直接根据权重，进行加法运算，得到向量融合，增强了文本向量化的表示能力，这里开始讨论一下…...

编程日记 2025/6/28 23:34:39

vue3+element-plus+pinia完整搭建好看简洁的管理后台

目录 一、项目介绍 二、项目结构 1.vscode的项目截图 2.项目依赖 三、项目截图 1.登录页 2.首页 3.汽车管理 4.汽车信息 5.系统管理 6.订单管理 7.数据统计 8.个人中心 四、源码分析 1.数据存储与同步 2.汽车信息 3.框架布局 五、总结 一、项目介绍 项目使用…...

编程日记 2025/6/27 23:22:23

新手到资深的Java开发编码规范

新手到资深的开发编码规范 一、前言二、命名规范：代码的 “第一印象”2.1 标识符命名原则2.2 命名的 “自描述性” 原则2.3 避免魔法值 三、代码格式规范：结构清晰的视觉美学3.1 缩进与空格3.2 代码块规范3.3 换行与断行 四、注释规范：代码的…...

编程日记 2025/6/29 8:06:10

Docker架构详解

一,Docker的四大要素：Dockerfile、镜像(image)、容器(container)、仓库(repository) 1.dockerfile：在dockerfile文件中写构建docker的命令,通过dockerbuild构建image 2.镜像：就是一个只读的模板，镜像可以用来创建docker容器&…...

编程日记 2025/6/27 23:15:45

VS Code中Maven未能正确读取`settings.xml`中配置的新路径

在VS Code中Maven未能正确读取settings.xml中配置的新路径，通常是由于以下原因导致的： 一、VS Code未使用你修改的settings.xml文件 VS Code的Maven插件可能使用了默认配置或指向其他settings.xml文件。解决方法： 手动指定settings.xml路径…...

编程日记 2025/6/27 2:18:56

Spring Boot 注解 @ConditionalOnMissingBean是什么

一句话总结： ConditionalOnMissingBean 是 Spring Boot 提供的一个 条件注解（Conditional Annotation），意思是： 只有当 Spring 容器中 不存在 某个 Bean 时，当前的 Bean 或配置才会被加载。 这是一种典型的…...

编程日记 2025/6/27 22:48:56

labview实现LED流水灯的第二种方法

LED流水灯的描述：写一个跑马灯程序，7个灯从左到右不停的轮流点亮，闪烁间隔由滑动条调节,并尝试拓展到任意个LED灯。 在前面的文章中，我们提到了使用labview实现LED流水灯的第一种方法。这篇文章来介绍一下实现LED流水灯的第二种方…...

编程日记 2025/6/27 22:49:02

Katoolin3 项目介绍：在 Ubuntu 上轻松安装 Kali Linux 工具

引言 在网络安全和渗透测试领域，Kali Linux 以其丰富的工具集成为首选操作系统。然而，Kali Linux 作为一个专为安全研究设计的系统，可能不适合日常使用或服务器环境（如 Ubuntu VPS）。Katoolin3 是一个强大的 Python 脚…...

编程日记 2025/6/27 22:49:36

labview设计一个虚拟信号发生器

目标：设计一个虚拟信号发生器，通过功能键的设置可以产生正弦波、三角波、方波和锯齿波，并可以通过输入控件设置采集信号的频率、幅值、相位等参数。 一、正弦波 （1）创建一个枚举 （2）点击属性后…...

编程日记 2025/6/27 23:11:18

java I/O

文件字符流 字符流不同于字节，字符流是以一个具体的字符进行读取，因此它只适合读纯文本的文件，如果是其他类型的文件不适用。 字节流；英文1个字节，中文3个字节。 字符流：中英文都是2个字节 public static…...

编程日记 2025/6/27 22:49:35

机器学习第二十三讲：CNN → 用放大镜局部观察图片特征层层传递

机器学习第二十三讲：CNN → 用放大镜局部观察图片特征层层传递 资料取自《零基础学机器学习》。 查看总目录：学习大纲 关于DeepSeek本地部署指南可以看下我之前写的文章：DeepSeek R1本地与线上满血版部署：超详细手把手指南 CNN详…...

编程日记 2025/6/26 23:23:47

webpack构建速度和打包体积优化方案

一、分析工具 1.1 webpack-bundle-analyzer 生成 stats.json 文件 打包命令webpack --config webpack.config.js --json > stats.json使用 webpack-bundle-analyzer 插件const BundleAnalyzerPlugin = require(webpack-bundle-analyzer).BundleAnalyzerPlugin; plugins: […...

编程日记 2025/6/28 23:25:10

RabbitMQ可靠传输——持久性、发送方确认

一、持久性 前面学习消息确认机制时，是为了保证Broker到消费者直接的可靠传输的，但是如果是Broker出现问题（如停止服务），如何保证消息可靠性？对此，RabbitMQ提供了持久化功能： 持久…...

编程日记 2025/6/27 22:49:16

《深度掌控Linux：openEuler、CentOS、Debian、Ubuntu的全方位运维指南》

《深度掌控Linux：openEuler、CentOS、Debian、Ubuntu的全方位运维指南》 一、引言 在当今数字化的时代背景下，Linux操作系统凭借其卓越的性能、可靠性和开源的优势，在服务器、云计算、嵌入式系统等众多领域占据着举足轻重的地位。对于IT运维…...

编程日记 2025/6/27 23:17:27

关于大语言模型的问答？

1.Why is prompt（提示词） engineering necessary when working with large language models (LLMs)? 答：Despite LLMs are powerful and versatile, they could still generate texts that are too generic, hallucinated, irrelevant, or …...

编程日记 2025/6/27 6:56:47

大模型应对大风等极端天气的卓越效果及其在能源预测中的特殊价值

引言 近年来，全球气候变化加剧，极端天气事件频发，尤其是大风天气的强度和频率显著增加。这不仅对电网安全运行带来挑战，也对风电场的发电效率、设备安全和收益稳定性造成影响。传统的气象预测和能源管理方法已难以满足高精度、实时响应的需求。而基于人工智能（AI）的大模…...

编程日记 2025/6/28 23:39:03

【web应用】vue3前端框架怎么修改logo?

菜单栏logo修改：src/assets/logo中的图片替换 浏览器栏目logo修改：public文件夹中的icon文件替换...

编程日记 2025/6/29 9:55:30

【Windows】FFmpeg安装教程

FFmpeg 下载与安装指南 下载 FFmpeg 访问 FFmpeg 官网点击页面上的 “Download” 按钮进入下载页面 配置环境变量 将 FFmpeg 的 bin 目录添加到系统环境变量 PATH 中 验证安装 打开 PowerShell输入命令 ffmpeg -version若显示版本信息，则表明安装成功 视频格式检…...

编程日记 2025/6/27 4:37:26

阿里巴巴 MCP 分布式落地实践：快速转换 HSF 到 MCP server

MCP 为资源访问和 Multi Agent 互操作提供了标准化的可能。开源社区目前对 MCP 的生态建设非常火热，mcp.so 已经提供了近 1 万的 mcp server ，其他各种 MCP 生态组件更是层出不穷。AI 大厂们积极拥抱 MCP ，并纷纷提供了自己的 MCP server。对…...

编程日记 2025/6/29 2:58:44

基于阿里云DashScope API构建智能对话指南

背景 公司想对接AI智能体，用于客服系统，经过调研和实施，觉得DashScope 符合需求。 阿里云推出的DashScope灵积模型服务为开发者提供了便捷高效的大模型接入方案。本文将详细介绍如何基于DashScope API构建一个功能完善的智能对话系统&#x…...

编程日记 2025/6/27 22:49:12

RK3588 RGA 测试

RK3588 RGA 测试 一、数据分析总结【由LLM生成】二、考链接三、测试数据四、测试过程4.1 编译librga SDK4.2 运行自带的测试4.3 生成`Resize`测试程序4.4 运行`Resize`测试4.5 遇到的错误一、数据分析总结【由LLM生成】 本次测试针对不同的源图像尺寸、目标图像尺寸和缩放算法…...

编程日记 2025/6/29 8:52:32

【机器学习】集成学习算法及实现过程

一、学习目标 了解什么是集成学习了解机器学习中的两个核⼼任务理解Bagging集成原理理解随机森林构造过程掌握RandomForestClassifier的使⽤掌握boosting集成原理和实现过程理解bagging和boosting集成的区别理解AdaBoost集成原理理解GBDT的算法原理 二、集成学习算法简介 2.…...

编程日记 2025/6/27 22:49:09

Vue:axios（GET请求）

基础 GET 请求 axios.get(https://api.example.com/data).then(response > {console.log(响应数据:, response.data);}).catch(error > {console.error(请求失败:, error);});参数传递方式 axios.get(/api/search, {params: {keyword: vue,page: 1,sort: desc} });// 实…...

编程日记 2025/6/27 23:07:00

iOS工厂模式

iOS工厂模式 文章目录 iOS工厂模式简单工厂模式（Simple Factory）工厂方法模式（Factory Method）抽象工厂模式（Abstract Factory）三种模式对比 简单工厂模式（Simple Factory） 定义&am…...

编程日记 2025/6/27 16:50:58

GitHub 趋势日报 (2025年05月21日)

本日报由 TrendForge 系统生成 https://trendforge.devlive.org/ 🌐 本日报中的项目描述已自动翻译为中文 📈 今日整体趋势 Top 10 排名项目名称项目描述今日获星总星数语言1microsoft/WSLLinux的Windows子系统⭐ 1731⭐ 25184C2virattt/ai-hedge-fundA…...

编程日记 2025/6/27 17:03:46

iOS 直播弹幕功能的实现

实现iOS直播弹幕功能需要考虑多个方面，包括弹幕的显示、管理、动画效果以及与直播流的同步。 核心实现方案 1. 弹幕显示视图 class BarrageView: UIView {// 弹道(轨道)数组private var tracks: [CALayer] []// 正在显示的弹幕数组 private var displayingBarra…...

编程日记 2025/6/26 23:55:18

借助Azure AI Foundry 如何打造语音交互新体验

在刚刚落幕的微软创想未来峰会上，Contoso 智能家居的现场演示引发了热议。许多观众在会后留言询问如何回看这场精彩演示。今天，微软为您揭秘 Contoso 如何借助微软最新技术实现智能家居的飞跃式创新。 当语音遇上智能体：用户体验焕然一新 如…...

编程日记 2025/6/29 2:24:36

Spring开发系统时如何实现上传和下载文件

代码如下 值得注意的是上传时候不需要参数servletRequest而下载时候却需要servletResponse，这是为什么呢？ 这是因为文件上传时，客户端通过 HTTP POST 请求将文件数据放在 请求体（Body） 中。Spring MVC 对上传过程进行…...

编程日记 2025/6/28 23:33:31

CyberSecAsia专访CertiK首席安全官：区块链行业亟需“安全优先”开发范式

近日，权威网络安全媒体CyberSecAsia发布了对CertiK首席安全官Wang Tielei博士的专访，双方围绕企业在进军区块链领域时所面临的关键安全风险与防御策略展开深入探讨。 Wang博士在采访中指出，跨链桥攻击、智能合约漏洞以及私钥管理不当&#x…...

编程日记 2025/6/27 23:24:10

Android 直播播放器FFmpeg静态库编译实战指南（NDK r21b）

一、环境准备与验证 1.1 必要组件安装 # Ubuntu环境依赖 sudo apt update sudo apt install -y git make automake autoconf libtool pkg-config curl unzip# NDK r21b下载 mkdir -p ~/android && cd ~/android wget https://dl.google.com/android/repository/andro…...

编程日记 2025/6/27 22:49:10

Linux中 I/O 多路复用机制的边缘触发与水平触发

边缘触发（Edge Triggered, ET）与水平触发（Level Triggered, LT） Linux中I/O复用机制epoll -CSDN博客 Linux中的 I/O 复用机制 select-CSDN博客 在 epoll 或其他 I/O 多路复用机制中，触发模式是指如何触发文件描述符…...

编程日记 2025/6/27 23:16:02

01-jenkins学习之旅-window-下载-安装

1 jenkins简介 百度百科介绍：Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成。 [1] Jenkins官网地址 翻译&…...

编程日记 2025/6/27 22:49:29

实战：Dify智能体+Java=自动化运营工具！

我们在运营某个圈子的时候，可能每天都要将这个圈子的“热门新闻”发送到朋友圈或聊天群里，但依靠传统的实现手段非常耗时耗力，我们通常要先收集热门新闻，再组装要新闻内容，再根据内容设计海报等。 那怎么才能简化并高…...

编程日记 2025/6/27 23:36:26

LInux—shell编程

一、Shell 编程核心特性 解释型语言 无需编译，直接由 bash、sh 等解释器逐行执行。 类似 PHP 的解释执行，不同于 C 的编译型。 系统命令集成 可直接调用 Linux 命令（如 ls、grep、awk），实现系统管理自动化。 与 C/…...

编程日记 2025/6/27 23:03:59

C++028（变量的作用域）

变量的作用域 作用域就是程序中变量的作用范围。局部变量的作用域是局部的，如函数体内；全局变量的作用域则是整个程序。 我们前面接触过的变量基本都是局部变量，这些变量在函数体内声明，无法被其他函数所使用。函数的形参也属于…...

编程日记 2025/6/27 22:49:44

计算机三级数据库免费题库

1.免费题库链接 链接: https://pan.baidu.com/s/1oNpgWmkFePUrCS6G7tfpUQ?pwdb1hg 提取码: b1hg 2.安装教程...

编程日记 2025/6/27 22:49:07

Unity Shader入门（更新中）

参考书籍：UnityShader入门精要（冯乐乐著） 参考视频：Bilibili《Unity Shader 入门精要》 写在前面：前置知识需要一些计算机组成原理、线性代数、Unity的基础 这篇记录一些学历过程中的理解和笔记（更新中&…...

编程日记 2025/6/27 22:49:46

NSSCTF-[陇剑杯 2021]webshell（问6）

下载得到pcap文件 放到Wireshark进行分析 先过滤http contains "1.php"&&http.request.method"POST" 追踪HTTP流 将后面的进行解码 得到flag NSSCTF{192.168.239.123}...

编程日记 2025/6/27 23:23:55

vscode git push 记录

1.先在git上建一个仓库 2.在vscode上登录同一账号 配置好ssh 直接使用 git remote add origin gitgithub.com:18053923230/aiRecipe.git (base) PS D:\gitee\cookbook> git push -u origin master Enter passphrase for key /c/Users/Administrator/.ssh/id_ed25519: …...

编程日记 2025/6/27 23:36:04

前端性能优化方案

一、HTML优化策略​ 1、减少DOM层级​​ <!-- 避免 --><div><div><div><p>内容</p></div></div></div><!-- 推荐 --><div class"content">内容</div> 原因&#xff1a;嵌套过深会增加渲染…...

编程日记 2025/6/27 22:49:14

前端vscode学习

1.安装python 打开Python官网&#xff1a;Welcome to Python.org 一定要点PATH&#xff0c;要不然要自己设 点击install now,就自动安装了 键盘winR 输入cmd 点击确定 输入python&#xff0c;回车 显示这样就是安装成功了 2.安装vscode 2.1下载软件 2.2安装中文 2.2.1当安…...

编程日记 2025/6/27 23:40:26

python实现web请求与回复

一、作为客户端发送请求&#xff08;使用requests库&#xff09; import requests # 发送GET请求 response requests.get("https://api.example.com/data") print("GET响应状态码:", response.status_code) print("GET响应内容:", response.…...

编程日记 2025/6/29 15:16:43

Python实现Web请求与响应

目录 一、Web 请求与响应基础 &#xff08;一&#xff09;Web 请求与响应的定义与组成 &#xff08;二&#xff09;HTTP 协议概述 &#xff08;三&#xff09;常见的 HTTP 状态码 二、Python 的 requests 库 &#xff08;一&#xff09;安装 requests 库 &#xff08;二…...

编程日记 2025/6/27 23:29:28

AI与.NET技术实操系列（六）：实现图像分类模型的部署与调用

引言 人工智能&#xff08;AI&#xff09;技术的迅猛发展推动了各行各业的数字化转型。图像分类&#xff0c;作为计算机视觉领域的核心技术之一&#xff0c;能够让机器自动识别图像中的物体、场景或特征&#xff0c;已广泛应用于医疗诊断、安防监控、自动驾驶和电子商务等领域…...

编程日记 2025/6/27 23:14:44

PP-YOLOE-SOD学习笔记1

项目&#xff1a;基于PP-YOLOE-SOD的无人机航拍图像检测案例全流程实操 - 飞桨AI Studio星河社区 一、安装环境 先准备新环境py>3.9 1.先cd到源代码的根目录下 2.pip install -r requirements.txt 3.python setup.py install 这一步需要看自己的GPU情况&#xff0c;去飞浆…...

编程日记 2025/6/27 22:49:13

Axure系统原型设计列表版方案

列表页面是众多系统的核心组成部分&#xff0c;承担着数据呈现与基础交互的重要任务。一个优秀的列表版设计&#xff0c;能够极大提升用户获取信息的效率&#xff0c;优化操作体验。下面&#xff0c;我们将结合一系列精心设计的列表版方案图片&#xff0c;深入探讨如何打造出实…...

编程日记 2025/6/27 22:49:58

腾讯音乐二面

ReentrantLock 的源码及实现 ReentrantLock 是 Java 中的一种可重入的互斥锁。它通过 AQS&#xff08;AbstractQueuedSynchronizer&#xff09;框架来实现。AQS 使用一个 FIFO 队列来管理获取锁的线程。ReentrantLock 有公平锁和非公平锁两种模式。非公平锁&#xff1a;当线程尝…...

编程日记 2025/6/27 23:36:45