凭据与 JWT 安全检查工作流

目标与适用范围

生成或验证密码凭据，检查 JWT 结构与安全信号，并明确区分私钥对与密码工具。
本指南将当前任务范围转化为可复核的交付结果。请保留源文件、中间产物和关键判断，让后续协作者能够理解检查了什么以及为什么这样处理。

准备证据并作出选择

• 使用合成的密码、哈希和 JWT，切勿使用生产环境机密。

• 先明确任务是生成、密码校验、令牌解码还是安全审查。

• 决策点: 创建还是检查密码？. 尚无凭据时生成新凭据；检查已有凭据时验证强度或与存储哈希比对。

• 决策点: 解码还是审计令牌？. 解码用于查看头部与载荷；审计用于检查算法、签名、有效期和敏感声明。

• 决策点: 这是密钥或 TLS 任务吗？. 私钥生成与证书检查不属于本密码与 JWT 工作流。

按步骤完成工作流

1. 准备安全凭据样例

生成非生产密码样例。 使用 password-generator.

2. 检查密码策略

使用匹配的密码策略验证器。 使用 password-validator, strong-password-validator.

3. 测试密码哈希路径

用匹配的派生哈希比对候选值。 使用 bcrypt-generator, bcrypt-validator, pbkdf2-generator, pbkdf2-validator, scrypt-generator, scrypt-validator.

4. 生成测试 JWT

用已知测试声明创建 JWT。 使用 jwt-generator.

5. 解码并审计令牌

先解码结构，再审计安全信号。 使用 jwt-decoder, jwt-decoder-security-auditor.

交付前验收结果

• 所选工具与凭据类型匹配。
• 密码强度或哈希比对有明确结果。
• JWT 结构与安全发现明确区分。
• 输入不包含生产机密或私钥。

常见问题

• 密码哈希可以反向还原吗？ 不可以。哈希用于将候选密码与派生值比对，而不是还原原始密码。
• 用解码器还是审计器？ 解码器展示 JWT 结构；审计器额外执行安全检查。
• 密钥对能替代密码吗？ 不能。公私钥用于签名或加密，属于另一类凭据。