源自 GitHubJWT鉴权安全评估
本功能用于系统化评估Web与移动应用中JWT身份认证机制的安全性。使用者输入待检测的JWT令牌内容、接口交互参数及签名校验配置，流程将覆盖none算法绕过、公私钥算法混淆、弱密钥暴破、kid及jwk参数注入等常见安全缺陷排查，最终生成具体的风险点总结与防御修复指引。使用者需具备基础的Web鉴权协议理解及安全测试能力。
常见场景
它能帮你做什么？
01
API网关签名绕过排查：针对接口鉴权逻辑核验none算法与RS256转HS256混淆问题，排查伪造凭据风险。
02
HMAC弱密钥爆破检测：对对称签名令牌进行字典碰撞测试，及早发现易被猜测还原的密钥隐患并更新。
03
移动端凭据存储安全审计：检测移动应用本地存储或备份中JWT明文持久化问题，防范客户端凭据泄露。
三步完成
怎么使用
1安装 Skill
把右侧安装请求发给你的 AI。
2说清楚目标
告诉 AI 你想完成什么，或直接贴入内容。
3检查结果
按需要继续调整语气、范围或格式。
复制就能用
你可以直接这样说
“根据提供的RS256签名JWT公钥和接口应答，排查是否存在算法混淆绕过漏洞”
“分析该JWT头部中的kid参数是否存在路径遍历或注入攻击面，并给出防御方案”
“审查当前的JWT生成与校验配置，提供针对None算法与弱密钥攻击的加固步骤”
适用人群
适合谁？
上手门槛
使用难度
专业
适合熟悉相关工具和专业流程的用户。
兼容范围
支持哪些 AI？
Codex可直接使用
Claude Code可直接使用
OpenClaw可直接使用
Hermes Agent可直接使用国内 Agent可直接使用
中文用户增强
Skill Px 做了什么？
中文说明简化使用方式补充中文案例整理安装流程降低理解难度
