在不信任签名的前提下解码 JWT,并检查 header/claims:alg none、远程 jku/x5u、敏感声明等风险。
检查依赖钉选、冲突与可解析性。
上线前模拟 API 限流:令牌桶、固定窗口、滑动日志与滑动窗口等策略对比。
检测隐藏字符、异常编码与看起来一样的欺骗字符。
对照 NIST SP 800-63B-4 审查密码策略:长度下限、避免组合规则等。