セキュリティ

このタグの記事1件。

公開鍵をHMACの鍵にするとJWTの署名が通る

2026年9月18日

ヘッダのalgを信じる検証器は、RS256の公開鍵をHMACの鍵に流用した偽トークンを通す。alg混同の実演と、Web Cryptoだけで検証を書くときのbase64urlとUint8Arrayの穴。