👁️ 敏感信息泄露

📖 漏洞原理

如果在 Payload 中存储敏感信息：

• 密码、密钥
• 信用卡号、身份证号
• 私密数据

这些信息会被任何获取到 Token 的人看到！

🧪 漏洞演示

Step 1: 获取包含敏感信息的 Token

Step 2: 解码 Token

无需密钥，直接 Base64 解码：

Step 3: 手动解码验证

在浏览器控制台执行：

// 复制 Token 后执行
const token = 'YOUR_TOKEN_HERE'
const payload = token.split('.')[1]
console.log(JSON.parse(atob(payload)))

🔬 错误示例

// ❌ 错误：在 Payload 中存储敏感信息
const payload = {
  userId: 123,
  username: 'admin',
  password: 'admin123',      // 不应该放密码！
  creditCard: '4111-xxxx',   // 不应该放信用卡！
  ssn: '123-45-6789'         // 不应该放身份证！
}

// ✅ 正确：只存储必要的非敏感信息
const payload = {
  userId: 123,
  username: 'admin',
  role: 'admin',
  iat: 1234567890,
  exp: 1234571490
}

🛡️ 安全建议

• 最小化原则 - Payload 只存储必要信息
• 不存敏感数据 - 密码、密钥、个人隐私等
• 使用 JWE - 如需加密，使用 JSON Web Encryption
• 短期有效 - 设置较短的过期时间
• HTTPS - 防止 Token 在传输中被窃取

📊 JWT vs JWE