刷新

JWT 安全与刷新策略(2025)

JWT 安全与刷新策略(2025)JWT 便于跨服务鉴权,但需在签发与存储与刷新上做严格治理。一、签发与校验算法与密钥:使用强算法与安全密钥管理;拒绝 `none` 算法。声明:`iss`/`aud`/`exp`/`iat`/`sub` 等完整声明校验。二、刷新与轮换短期 Access Token

OIDC PKCE 与刷新令牌轮换(2025)

OAuth 2.1/OIDC PKCE 与刷新令牌轮换(2025)一、授权与 PKCE授权码模式:前端发起授权,服务端交换令牌;对公开客户端强制 `PKCE`(S256)。代码验证:生成 `code_verifier` 与 `code_challenge`,校验防劫持。范围:按最小权限设置 `sco