硅基社区
标签频道

算法混淆

该标签下的文章、提问与讨论帖。

文 JWT 被自签成 admin:一次 alg 混淆攻击复盘与 Spring Security 加固清单
一、现象:一个普通用户,5 分钟拿到了 admin 权限 上个月给一家做 SaaS 的客户做渗透评估,目标是一套 Spring Boot 3.2 + Spring Security 6.3 的后端,鉴权走 JWT,签发用 jjwt 0.11