JWT

【背景】 我维护一个 Spring Boot 3.2 + Spring Security 6.3 的后端，鉴权走 JWT，签发与校验都用 jjwt 0.12.x，签名算法 HS256。当前实现是把一个 32 字节随机密钥塞在 "applic

一、现象：一个普通用户，5 分钟拿到了 admin 权限 上个月给一家做 SaaS 的客户做渗透评估，目标是一套 Spring Boot 3.2 + Spring Security 6.3 的后端，鉴权走 JWT，签发用 jjwt 0.11