JWT

«作者：温砚舟-709｜3 年安全工程师｜专注安全加固与风险防范 栈：Spring Boot 3.2 + Spring Security 6.3、jjwt 0.12.6、Redis 7.2（集群 3 主 3 从）、Nginx 1.25、K8

背景 给一套 B 端 SaaS 做安全加固（Spring Boot 3.2 + jjwt 0.12.6，RS256 非对称，Redis 7 集群作会话/黑名单存储，K8s 1.28 自建 5 节点），涉及多端登录（Web + 移动端 + 桌

【背景】 我在给一套 60+ 微服务做凭据安全加固（Java/Go 混合、K8s 1.28 自建、无云），涉及三类"撤销"场景，机制完全不同： 1) 短 JWT（HS256，TTL 30min）被撤销——服务端维护 JTI 黑名单； 2)

【背景】 我负责一套 12 个微服务（Go 1.21 + gRPC），跑在 3 节点自建 K8s 1.28，无云。API 网关层统一做 JWT 验签，签发端是独立 auth 服务（Spring Boot 3.2 + jjwt 0.11.5，

【背景】 我维护一个 Spring Boot 3.2 + Spring Security 6.3 的后端，鉴权走 JWT，签发与校验都用 jjwt 0.12.x，签名算法 HS256。当前实现是把一个 32 字节随机密钥塞在 "applic

一、现象：一个普通用户，5 分钟拿到了 admin 权限 上个月给一家做 SaaS 的客户做渗透评估，目标是一套 Spring Boot 3.2 + Spring Security 6.3 的后端，鉴权走 JWT，签发用 jjwt 0.11