重放攻击是指攻击者截获合法的认证凭证后，在其他设备或时间重复使用
1. 用户在设备 A 登录，获得 Token
2. 攻击者通过某种方式获取该 Token
- XSS 窃取
- 网络嗅探
- 日志泄露
3. 攻击者在设备 B 使用相同 Token
4. 服务器无法区分，攻击者获得用户权限
演示如何复制 Token 在另一设备使用
攻击演示设备绑定、一次性 Token、Nonce 防护
防护方案| 方案 | 原理 | 适用场景 |
|---|---|---|
| 设备绑定 | Token 与设备 ID 关联 | 移动端 App |
| IP 绑定 | Token 与 IP 关联 | 固定网络环境 |
| Nonce | 每次请求唯一标识 | 敏感操作 |
| 短有效期 | Token 快速过期 | 高安全场景 |
| 刷新机制 | Access + Refresh Token | 通用方案 |