面试题：安全认证之JWT在事件驱动架构下的安全漏洞与防范

一、可能存在的安全漏洞

JWT伪造：攻击者可以构造伪造的JWT，包含虚假的用户身份等信息，尝试绕过身份验证机制。
重放攻击：攻击者捕获合法的JWT，然后在后续时间再次使用该JWT进行请求，以达到未经授权访问资源的目的。
密钥泄露：如果JWT签名密钥被泄露，攻击者就可以伪造有效的JWT。
算法篡改：攻击者可能篡改JWT中的签名算法字段，使用不安全的算法或者他们能够破解的算法。

二、架构设计层面防范措施

密钥管理
- 采用安全的密钥管理系统（KMS），对JWT签名密钥进行严格的访问控制和保护。例如，使用云提供商提供的KMS服务，如AWS Key Management Service、Google Cloud KMS等。
- 定期更新密钥，设置合理的密钥更新周期，如每月或每季度更新一次。
分布式架构中的密钥同步
- 在分布式系统中，确保所有服务节点使用相同且安全的密钥。可以通过安全的配置中心（如Spring Cloud Config、Consul等）来同步密钥信息，并且配置中心本身要有严格的访问控制。
JWT生命周期管理
- 设计合理的JWT有效期，根据业务场景设置较短的有效期，如对于短期登录的场景，有效期可以设置为15分钟到1小时。同时，结合刷新令牌机制，当JWT过期时，用户可以使用刷新令牌获取新的JWT。

三、代码实现层面防范措施

签名验证
- 在代码中使用成熟的JWT库，如Java中的jjwt库。在接收JWT的每个服务接口处，严格验证JWT的签名。例如，在Spring Boot应用中，可以通过自定义过滤器来验证JWT：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureException;
import org.springframework.stereotype.Component;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@Component
public class JwtFilter extends OncePerRequestFilter {
    private static final String SECRET_KEY = "your_secret_key";
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        String jwt = request.getHeader("Authorization");
        if (jwt != null && jwt.startsWith("Bearer ")) {
            jwt = jwt.substring(7);
            try {
                Claims claims = Jwts.parserBuilder()
                        .setSigningKey(SECRET_KEY)
                        .build()
                        .parseClaimsJws(jwt)
                        .getBody();
                request.setAttribute("claims", claims);
            } catch (SignatureException e) {
                response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                return;
            }
        } else {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return;
        }
        filterChain.doFilter(request, response);
    }
}

防止重放攻击
- 引入随机数（Nonce）机制，在生成JWT时，添加一个唯一的随机数作为JWT的一部分。在验证JWT时，记录已经使用过的Nonce，当再次接收到相同Nonce的JWT时，拒绝该请求。例如，在JWT的Payload中添加nonce字段：

Claims claims = Jwts.claims();
claims.put("nonce", UUID.randomUUID().toString());
String jwt = Jwts.builder()
       .setClaims(claims)
       .setIssuedAt(new Date())
       .setExpiration(new Date(System.currentTimeMillis() + 3600000))
       .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
       .compact();

- 使用黑名单机制，对于登出或者过期的JWT，将其加入黑名单。每次验证JWT时，检查JWT是否在黑名单中。可以使用Redis来实现黑名单存储，示例代码如下：

import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.stereotype.Component;
import java.util.concurrent.TimeUnit;
@Component
public class JwtBlacklist {
    private final RedisTemplate<String, String> redisTemplate;
    public JwtBlacklist(RedisTemplate<String, String> redisTemplate) {
        this.redisTemplate = redisTemplate;
    }
    public void addToBlacklist(String jwt, long expiration) {
        redisTemplate.opsForValue().set(jwt, "blacklisted", expiration, TimeUnit.SECONDS);
    }
    public boolean isInBlacklist(String jwt) {
        return redisTemplate.hasKey(jwt);
    }
}

算法固定
- 在代码中固定JWT使用的签名算法，不允许从JWT中动态获取算法。例如，在使用jjwt库时，明确指定签名算法：

String jwt = Jwts.builder()
       .setClaims(claims)
       .setIssuedAt(new Date())
       .setExpiration(new Date(System.currentTimeMillis() + 3600000))
       .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
       .compact();

四、运行时监控层面防范措施

异常监测
- 使用日志管理系统（如ELK Stack、Graylog等）来收集和分析与JWT相关的日志。例如，记录所有JWT验证失败的日志，包括失败原因（签名错误、过期、重放等）。通过对这些日志的分析，可以及时发现异常的JWT使用情况。
- 配置告警机制，当出现大量JWT验证失败或者特定类型的JWT安全事件（如连续的重放攻击尝试）时，通过邮件、短信等方式通知运维人员。
性能监测
- 监测JWT验证过程的性能指标，如验证时间、每秒处理的JWT数量等。如果验证性能出现明显下降，可能意味着受到了攻击，如大量伪造JWT的暴力攻击。可以使用APM工具（如New Relic、SkyWalking等）来监测JWT验证相关的性能指标。
实时流量分析
- 利用网络流量分析工具（如Wireshark、Suricata等）对网络流量中的JWT进行实时分析。检测是否存在异常的JWT传输模式，如大量相同的JWT请求或者频繁的JWT请求来自特定的IP地址，及时发现潜在的重放攻击或伪造攻击。

星途面试题库

面试题：安全认证之JWT在事件驱动架构下的安全漏洞与防范

知识考点

面试题答案

一、可能存在的安全漏洞

二、架构设计层面防范措施

三、代码实现层面防范措施

四、运行时监控层面防范措施