时间戳

首页 > 解决方案 > 验证 JWT 令牌时指定 alg

jwt - 验证 JWT 令牌时指定 alg

问题描述

在jsonwebtoken 8.5.1中，可以像 HS256 一样验证令牌，例如：

const jwt = require("jsonwebtoken");
const decoded = await jwt.verify(jwt_token, jwtPrivateKey, {ignoreExpiration: true});

既然alg:none是已知漏洞，有没有办法alg在验证时强制使用预期？alg它是否还通过在验证中指定来增强安全性？

标签： jwt

解决方案

您可以使用algorithms密钥指定您期望的算法，请参阅以下文档jwt.verify()：

algorithms：具有允许算法名称的字符串列表。例如，["HS256", "HS384"].

推荐阅读