JWT空加密算法绕过漏洞检测报告.docVIP

JWT空加密算法绕过漏洞检测报告

一、JWT技术基础概述

JSONWebToken（JWT）是一种基于JSON的开放标准（RFC7519），用于在网络应用间传递声明。它通过将用户信息封装为JSON对象，并使用数字签名或加密算法进行保护，实现了跨域身份验证、信息传递等功能。JWT通常由三部分组成：头部（Header）、载荷（Payload）和签名（Signature），三者通过Base64Url编码后用点号（.）连接，形成最终的Token字符串。

（一）头部（Header）

头部通常包含两部分信息：令牌类型（typ）和使用的加密算法（alg）。例如：

{alg:HS256,typ:JWT}

其中，alg字段指定了签名或加密所使用的算法，常见的有HMAC-SHA256（HS256）、RSA-SHA256（RS256）、ECDSA（ES256）等，也可以设置为none表示不使用签名。

（二）载荷（Payload）

载荷部分包含了需要传递的声明信息，这些声明分为三种类型：注册声明、公共声明和私有声明。注册声明是JWT标准中定义的一些字段，如iss（签发者）、exp（过期时间）、sub（主题）、aud（受众）等；公共声明可以由用户自定义，但应避免与标准字段冲突；私有声明则是通信双方约定的自定义字段。例如：

{sub:1234567890,name:JohnDoe,a