简述JWT原理及常见攻击方式 ？
参考答案：
JWT（JSON Web Token）是一种用于在网络应用之间安全地传输信息的开放标准，它采用JSON格式进行加密并封装用户信息，然后发送给服务端进行验证，从而实现身份验证和授权。其原理主要由三部分组成：Header（头部）、Payload（负载）和Signature（签名）。Header部分包含元数据，如签名算法和令牌类型；Payload部分包含注册声明和需要通信的数据；Signature部分是对前两部分的签名，用于验证JWT的完整性和真实性。
然而，JWT也面临着一些常见的攻击方式，主要包括：
- 签名绕过攻击：攻击者尝试修改JWT的签名或直接绕过签名验证，从而伪造有效的JWT。这可能导致未经授权的访问和身份伪装。
- 令牌伪造：攻击者尝试构造自己的JWT，并在请求中发送，企图欺骗服务器。这可能导致访问未授权的资源或执行未经授权的操作。
- 令牌篡改：攻击者试图修改JWT中的声明信息，例如用户ID或角色，以获取未授权的访问或特权。
- JWT注入：类似于常见的SQL注入攻击，攻击者尝试在JWT的Payload中注入恶意代码或非法内容，以影响服务器的行为。
除了上述攻击方式外，还存在修改加密算法伪造token、None算法攻击绕过验证等攻击手段。这些攻击方式都利用了JWT的某些漏洞或弱点，通过伪造、篡改或注入恶意内容等手段，对应用的安全性造成威胁。
因此，在使用JWT时，需要采取一些安全措施来防范这些攻击，例如使用强密码学算法进行签名和加密、严格验证JWT的完整性和真实性、限制JWT的有效期和使用范围等。同时，也需要保持对JWT相关漏洞和攻击方式的关注，及时更新和升级安全措施，以应对不断变化的安全威胁。