认证测试应覆盖哪些令牌状态？

追问缺失、格式错误、签名不匹配、过期、尚未生效、受众错误和用户已禁用如何分别验证？

权限测试如何证明没有水平越权和垂直越权？

追问两个普通用户互访资源、普通用户调用管理员操作、管理员查看跨租户数据分别怎样设计样例？

追问正常刷新、并发刷新、旧令牌再次使用、家族撤销和重新登录如何验证状态转换？

追问若访问令牌短期内仍有效，系统应如何明示策略？怎样验证服务端撤销版本或黑名单确实生效？

追问按接口、客户端、issuer、kid、错误类型和时间分布聚合有什么帮助？怎样区分密钥轮换、时钟漂移、攻击和前端 bug？

追问登录请求 ID、token jti、用户 ID 和后续请求如何关联，同时避免记录可重放凭据？

追问密码哈希成本、数据库查询、限流存储、外部身份服务和网络等待分别如何测量？为什么不能只降低哈希工作因子？

追问令牌签发时间、验证服务器时钟、缓存的公钥和时区展示怎样分别核对？

追问输入校验、当前用户依赖、资源范围、响应过滤、错误状态、审计和文档声明应形成怎样的检查清单？

追问先撤销/轮换凭据还是先清理日志？如何缩小影响范围、保留调查证据并修复采集链路？