检查JWT ALG

Question

我使用flask-jwt-extended库进行身份验证，一切正常，但我想检查是否有人用ALG = none发送了一个被操纵的JWT令牌，因为这是一个用来欺骗服务器的已知漏洞。

我查看了文档，但我没有找到哪个选项，让我检查一下在alg中接收到的所有请求的内容。

谢谢。

Answer 1

Flask-JWT-Extended已经为您处理了这一点。它根据app.config['JWT_DECODE_ALGORITHMS']或app.config['JWT_ALGORITHM'] here (https://github.com/vimalloc/flask-jwt-extended/blob/1fec4dc22fe97fd3bf579548079543a8c0b61e3e/flask_jwt_extended/utils.py#L111)中定义的预期算法严格检查每个令牌，以避免此类攻击。