用途：在获得书面授权的前提下，测试使用 RS256 非对称 JWT 的 API，检查是否存在算法降级、alg:none 绕过及密钥混淆等认证绕过问题，并验证服务器是否强制指定算法而非信任 JWT 头。
主要能力：解析 JWT 头与载荷、从 JWKS 或常见路径获取 RSA 公钥；将 RS256 令牌改为 HS256 并用公钥作为 HMAC 密钥重签；生成 alg 为 none 的多种大小写与签名变体；篡改角色或 sub 声明测试权限提升；生成 jku 指向攻击者 JWKS 的令牌；构造 kid 的 SQL 注入、路径遍历与 URL 载荷。
必要用法：需要书面授权、一个合法获取的 JWT、服务器 RSA 公钥，以及 Python 3.10+ 与 PyJWT、cryptography、requests；配套工具包括 jwt_tool、Burp Suite JWT Editor 扩展、hashcat（模式 16500）、John the Ripper 与 jwt.io。基本流程为解码令牌、获取公钥、伪造 HS256 令牌并请求受保护端点观察响应状态。
适用场景：金融类 API 的认证强度评估、JWT 库的密钥混淆检查，以及各类基于 JWT 的认证实现审计。
限制：必须在书面授权范围内使用，未授权测试违法；攻击者侧 JWKS 托管、公钥格式差异、服务端是否强制算法等会导致结果不同，需逐一验证。具体收费、价格与更多平台信息暂未提供。