Elysia Tools
Навигация
Workflow Playbook
Подготовьте очищенные тестовые данные аутентификации, отделите генерацию токена от декодирования и проверки, проверьте время OTP/TOTP и проведите аудит JWT и сессионных свидетельств без раскрытия настоящих секретов.
Темы
Используйте этот процесс только для собственной синтетической fixture или для материалов аутентификации, на проверку которых получено явное разрешение. До начала опишите воспроизводимый сценарий, ожидаемые claims и алгоритмы, фиксированные часы или счётчик и ответственного за проверку. Рабочие access token, refresh token, cookie, общие секреты, закрытые ключи и коды восстановления не должны попадать ни в инструмент, ни в отчёт.
С помощью secure-random-generator, nonce-generator и uuid-generator создайте одноразовые ID корреляции и nonce, затем проверьте формат идентификатора. Используйте jwt-generator для синтетических claims, соответствующих проблемному случаю. Для MFA otp-generator подходит для независимого цифрового кода, а totp-hotp-offline-generator — для одноразовой Base32 seed с фиксированным временным шагом или счётчиком. Запишите ожидаемые значения, чтобы ошибка воспроизводилась.
jwt-decoder и base64url-encoder показывают, интерпретируема ли структура и как закодированы сегменты, но не доказывают подлинность. jwk-generator может создать или разобрать одноразовый ключ либо разрешённый открытый JWK; не импортируйте рабочий закрытый ключ ради локального успеха. Используйте hmac-generator-verifier и поддерживаемые проверки подписи или срока действия из jwt-decoder-security-auditor только с контролируемыми данными и понятными ожиданиями.
После проверки отдельно рассмотрите алгоритм, срок действия и not-before, чувствительные claims, допущения времени или счётчика TOTP/HOTP и связь свидетельства с ID запроса или сессии. Декодирование, совпавшая подпись и находка безопасности отвечают на разные вопросы и должны записываться раздельно.
Итоговый пакет должен содержать область теста, версию fixture, ID корреляции, ожидаемый и наблюдаемый результат, замаскированные фрагменты или отпечатки, остаточную неопределённость и следующее разрешённое действие. В нём не должно быть повторно используемого секрета или активного материала сессии. Локальный результат помогает отладке; только разрешённый тест приложения может установить, как сервер обработал запрос.
Руководство по рабочему процессу
Сгенерируйте одноразовый случайный материал, nonce или значение для PKCE и ID корреляции запроса или сессии. Проверьте формат UUID, отделите исходную fixture от журналов и пометьте каждое значение как предназначенное только для теста.
С помощью jwt-generator создайте синтетический токен с намеренными вариантами claims, затем получите независимый OTP или значение TOTP/HOTP по RFC из одноразовой тестовой seed. Храните ожидаемые claims, шаг времени, счётчик и код рядом с fixture, но не в рабочем журнале.
Изучите header и payload с помощью jwt-decoder и проверьте представление сегментов JWT или PKCE через base64url-encoder. Используйте jwk-generator только с синтетическим ключом или разрешённым открытым JWK; не импортируйте закрытый ключ.
Для нового материала используйте secure-random-generator, nonce-generator и uuid-generator. В разрешённой записи оставляйте только необходимое очищенное значение и не принимайте сам факт декодирования за доказательство доверия к токену.
Выберите otp-generator для независимого цифрового кода, например теста SMS или email. Выберите totp-hotp-offline-generator, когда проверяются общая Base32 seed, временной шаг или счётчик, и используйте только одноразовую тестовую seed.
jwt-decoder и base64url-encoder показывают структуру и кодирование. hmac-generator-verifier и поддерживаемые проверки jwt-decoder-security-auditor тестируют известную подпись или условие claim. Итоговый аудит безопасности отдельно рассматривает алгоритм, срок действия, чувствительные claims и обращение с доказательствами.
Для одноразовой fixture сравните известное сообщение и тестовый секрет через hmac-generator-verifier, а jwt-decoder-security-auditor используйте для поддерживаемых проверок подписи HS256 или RS256 и срока действия. При подозрении на дрейф времени повторите TOTP или HOTP с записанным временем или счётчиком; локальное совпадение не доказывает принятие сервером.
Отдельно проверьте выбор алгоритма, срок действия и not-before, чувствительные claims, окна кода и трассируемость. Сохраните только очищенные метаданные, результаты, отпечатки или сокращённые фрагменты, ID корреляции, остаточную неопределённость и разрешённое действие; удалите исходные секреты и активные данные сессии.