JWT、密钥与令牌校验
API、身份认证与企业系统集成#FDE#第六阶段#API、身份认证与企业系统集成#JWT、密钥与令牌校验约 526 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
JWT 的解码、验签与解密有何区别？
追问 可读取声明是否意味着可信？签名令牌是否一定隐藏内容？
怎样固定允许的签名算法？
追问 为何不能只信任令牌自己的 alg？校验库应怎样绑定算法和密钥用途？
JWKS 与 kid 如何协助密钥选择？
追问 未知 kid、轮换和缓存怎样处理？密钥获取地址由谁可信配置？
issuer 与 audience 应怎样验证？
追问 不同客户、环境与服务怎样区分？验签通过为何仍可能拿到发给另一系统的令牌？
exp、nbf 与时钟容差如何使用？
追问 过期、尚未生效与主机偏差怎样区别？容差如何避免无限延长有效期？
ID Token、Access Token 与刷新令牌怎样隔离用途？
追问 错误类型令牌送到 API 时怎样拒绝？令牌外观相似为什么不能证明可替换？
自包含令牌怎样处理即时撤销需求？
追问 短期有效、会话检查与撤销记录如何选择？各有什么状态与查询成本？
令牌中的角色能否永久代表当前权限？
追问 人员调岗和客户授权变化如何影响？哪些操作仍需查询最新业务规则？
怎样避免将客户提交的任意密钥地址当作可信？
追问 可信发行者和地址允许范围如何配置？网络请求和缓存有哪些边界？
怎样测试令牌校验没有被绕过？
追问 改声明、错算法、错受众和过期令牌如何覆盖？测试是否只检查正常令牌？