簡單來說，JWT就是一個非常輕量級的業務流程管理規範。
該規範允許我們通過JWT在用戶和服務器之間安全可靠地傳遞信息。
JWT通常用於實現前端和後端的解耦，同時，它還可以與Restful API一起使用，用於構建身份驗證機制。
下面，我們以最大的視頻託管公司之一vimeo.com為例來展示JWT。
原文出處：https://xz.aliyun.com/t/2338
－－－－－－－－－－－－－－－－－－－
如果你認同支持我們每日分享的文章的話，請幫我們按個讚並且點擊追蹤「搶先看」，這樣就可以快速獲得最新消息囉！
您的分享及點讚，是我們最大的動力來源。
https://www.facebook.com/LonelyPoPo/
波波觀點：JWT 安全的關鍵在驗證與生命週期
JWT 攻擊技巧不只包含 alg none 或弱密鑰，還包括簽章驗證缺失、演算法混淆、kid 注入、token 過期時間過長、敏感資料放入 payload 與撤銷機制不足。對 API 與單頁應用來說，JWT 是常見身份驗證元件，因此這篇文章很適合整理成實務防禦指南。
常見檢查項目
- 確認伺服器端是否強制指定演算法，不接受 token 自行宣告的危險值。
- 檢查簽章驗證、issuer、audience、expiration、not before 與 clock skew。
- 避免把密碼、API key、個資或內部權限細節直接放入 JWT payload。
- 設計 token 失效、金鑰輪替、refresh token 與異常登入偵測流程。
防禦建議
JWT 應該被視為可被竊取的憑證，因此需要短生命週期、HTTPS、HttpOnly/SameSite cookie 或合適的儲存策略。金鑰管理也很重要，測試環境與正式環境不應共用 secret，並應定期輪替與限制權限。
後續可加入安全設定範例、常見弱點測試流程與 API 驗證 checklist。這會讓文章能同時服務 Web 開發者、滲透測試者與 Bug Bounty 讀者。
