Elysia Tools
导航
Workflow Playbook
准备脱敏认证 fixture，区分令牌生成、解码与校验，测试 OTP/TOTP 的时间行为，并在不暴露真实密钥的前提下审计 JWT 与会话证据。
专题
这套流程只能用于自己的合成 fixture，或用于有明确授权的认证材料。先写清楚要复现哪条流程、预期的 claims 和算法、固定的时间或计数器，以及谁负责复核证据。生产 access token、refresh token、cookie、共享密钥、私钥和恢复码都不应进入工具或报告。
用 secure-random-generator、nonce-generator 和 uuid-generator 创建一次性关联 ID 与 nonce，先校验标识符格式，再用 jwt-generator 生成覆盖当前问题的合成 claims。MFA 场景中，独立数字验证码用 otp-generator；涉及一次性 Base32 seed 与固定时间步长或计数器时，用 totp-hotp-offline-generator。把预期值记录下来，失败才有可重复的依据。
jwt-decoder 与 base64url-encoder 用来回答令牌是否结构完整、片段如何编码，但不能证明真实性。jwk-generator 可以创建或检查一次性密钥和获授权的公开 JWK；不要为了让本地检查通过而导入生产私钥。只在受控材料和明确预期下使用 hmac-generator-verifier 以及 jwt-decoder-security-auditor 支持的签名或过期检查。
完成校验后，单独复核算法选择、过期与生效时间、敏感 claims、TOTP/HOTP 的时间或计数器假设，以及证据与请求或会话 ID 的关联。解码结果、签名匹配和安全发现回答的是不同问题，应该分栏记录，不能把“能解析”误写成“会话已获授权”。
最终包应包含测试范围、fixture 版本、关联 ID、预期和实际结果、脱敏片段或指纹、剩余不确定性以及获授权的下一步。它不应包含可复用密钥或正在使用的会话材料。本地工具结果是排障证据，只有获授权的应用测试才能说明服务端如何处理该请求。
工作流指南
为本次测试生成一次性随机材料、nonce 或 PKCE 相关值，以及请求或会话关联 ID。校验 UUID 形状，把原始 fixture 与日志分开，并在它进入请求或报告前标注为仅供测试使用。
用 jwt-generator 创建带有刻意 claims 变化的合成令牌，再根据场景用一次性测试 seed 生成独立 OTP 或 RFC 风格的 TOTP/HOTP。把预期 claims、时间步长、计数器和验证码与 fixture 放在一起，不要写入生产日志。
用 jwt-decoder 查看 header 与 payload，用 base64url-encoder 检查 JWT 或 PKCE 片段的表示方式。jwk-generator 只用于合成密钥或获授权的公开 JWK，核对 kid 和算法等字段时不要导入私钥。
对一次性 fixture 使用 hmac-generator-verifier 比较已知消息和测试密钥，并用 jwt-decoder-security-auditor 执行其支持的 HS256 或 RS256 签名、过期检查。若怀疑时间漂移，用记录的时间或计数器重跑 TOTP/HOTP；本地匹配仍不等于服务端接受。
单独复核算法选择、过期与生效时间、敏感 claims、验证码窗口假设和追踪链路。只保存脱敏元数据、通过或失败结果、指纹或截断片段、关联 ID、剩余风险与获授权的行动；删除原始密钥和正在使用的会话材料。
新测试材料使用 secure-random-generator、nonce-generator 和 uuid-generator；已有捕获数据只保留分析所需的最小脱敏值。不要因为能解码，就把令牌当成可信令牌。
短信或邮件这类独立数字验证码用 otp-generator。若测试包含共享 Base32 seed、时间步长或计数器，才用 totp-hotp-offline-generator，并且只能使用一次性的测试 seed。
jwt-decoder 和 base64url-encoder 只说明结构和编码。hmac-generator-verifier 与 jwt-decoder-security-auditor 的支持项用于检查已知签名或 claims 条件；最后的安全审计还要单独复核算法、过期时间、敏感 claims 和证据处理。