aegis-api-token-security

用途：对以不透明 bearer/API 令牌认证机器客户端的公网 HTTP API，做令牌全生命周期审计，检查设计、存储、传输、作用域、过期轮换、吊销、限流、枚举抵抗、日志与客户端分发十个领域。主要能力：给出各阶段常见缺陷、检测方法与严重度锚点；提供只读排查命令（如 rg 搜索生成代码、information_schema 查询令牌列、统计过期与长期未用令牌）；明确判定规则，如明文存储令牌为严重、仅存 SHA-256 哈希为正确形态、高熵令牌无需慢速 KDF、查询串携带令牌为高危、吊销后缓存仍生效视为高危等。使用方式：从配置即代码与主机只读检查，需要 root 或应用数据库读取权限的命令分别标注 [ROOT]、[APP-DB]；无权限时报告“未在主机验证”。适用场景：API 令牌安全评审、泄露事件响应对照、整改前现状盘点。限制：只读检查，变更命令仅属修复阶段且需审批；JWT 结构、CSRF、通用 API 滥用、TLS 边缘、文件/仓库密钥、流量阈值等交由相邻模块，本技能不重复审计；具体版本、收费与部署细节暂未提供。