3. JWT 安全风险：Token 泄露、重放攻击、密钥泄露、算法混淆攻击及防御措施

JWT（JSON Web Token）作为无状态认证的核心载体，其安全性直接决定了后端权限矩阵的可靠性。在实际生产环境中，JWT 面临多种攻击向量，包括 Token 泄露、重放攻击、密钥泄露以及算法混淆攻击。本章将系统分析这些风险的技术原理，并给出经过验证的防御策略。

3.1 四大核心风险与攻击原理

下表总结了 JWT 生命周期中最高频的四种安全威胁，以及它们对应的攻击入口和影响范围：

3.2 Token 泄露与防御措施

Token 泄露是最常见的安全事故。JWT 一旦泄露，攻击者即可在 Token 有效期内完全接管用户会话。防御需要从存储、传输和生命周期三个维度入手：

• 传输层强制加密：所有 JWT 必须通过 HTTPS 传输，禁止在 HTTP 明文通道中传递 Token。在微服务间调用时，也应使用 mTLS 或服务网格加密。
• 存储策略选择：优先使用 HttpOnly + Secure + SameSite=Strict 的 Cookie 存储 JWT，避免使用 localStorage 或 sessionStorage，后者易受 XSS 攻击读取。
• 短期 Token + 刷新机制：Access Token 有效期建议控制在 15 分钟以内，配合 Refresh Token 实现无感续期。即使 Access Token 泄露，攻击窗口也被大幅压缩。
• Token 指纹绑定：在 JWT payload 中嵌入客户端指纹（如 User-Agent 哈希、IP 段、TLS 会话 ID），服务端验证时比对指纹，防止 Token 被跨设备使用。

3.3 重放攻击与防御措施

重放攻击的核心在于攻击者利用 JWT 的“无状态”特性——服务端默认不记录已使用的 Token。防御的关键是引入一次性或时间敏感机制：

以下 SVG 图展示了重放攻击的完整链路以及 jti 黑名单机制的防御原理：

3.4 密钥泄露与防御措施

密钥泄露是 JWT 体系中最致命的威胁。一旦签名密钥暴露，攻击者可以伪造任意身份和权限。防御策略需要覆盖密钥的生成、存储、轮换和验证全生命周期：

• 非对称算法优先：使用 RS256 或 ES256 代替 HS256。HS256 是对称算法，签名和验证使用同一个密钥，泄露风险更高；RS256 使用私钥签名、公钥验证，公钥可以安全分发。
• 密钥管理服务（KMS）：将密钥存储在专用的密钥管理服务（如 AWS KMS、HashiCorp Vault）中，避免硬编码在配置文件或代码仓库中。应用运行时通过 API 获取密钥，不直接接触密钥明文。
• 定期轮换密钥：建立密钥轮换机制，建议每 90 天轮换一次。轮换时保留旧密钥的验证能力（通过 kid 字段标识），直到所有使用旧密钥签发的 Token 过期。
• 密钥泄露应急响应：准备密钥吊销列表（Key Revocation List），一旦发现泄露，立即将泄露密钥的 kid 加入黑名单，并强制所有用户重新登录。

3.5 算法混淆攻击与防御措施

算法混淆攻击（Algorithm Confusion Attack）利用了 JWT 解析库对 alg 头部字段的信任缺陷。攻击者将 alg 从 RS256 改为 HS256，并使用已知的公钥作为 HMAC 的密钥来签名 Token。如果服务端未严格校验算法类型，就会使用公钥作为 HS256 的密钥进行验证，从而通过伪造的 Token。

防御算法混淆攻击的核心措施：

Jwts.parserBuilder()
  .setSigningKey(publicKey)
  .requireIssuer("auth-service")
  .setAllowedClockSkewSeconds(30)
  .build()
  .parseClaimsJws(token);

if (algorithm.startsWith("HS")) {
  // 使用对称密钥
} else if (algorithm.startsWith("RS")) {
  // 使用 RSA 公钥
} else {
  throw new SecurityException("不支持的算法");
}

// 在解析器中设置
parser.setAllowedClockSkewSeconds(0);
// 或使用安全库版本 >= 0.11.0

以下 SVG 图对比了正常验证流程与算法混淆攻击的流程差异：

3.6 综合防御矩阵

将上述四种风险的防御措施整合为一个统一的防御矩阵，便于架构设计时对照检查：