用途：针对使用 JWT 做认证授权的系统开展安全测试，发现并验证实现缺陷，输出漏洞评估、利用证明、密钥恢复结果与修复建议。
主要能力：覆盖 none 算法攻击、HMAC 弱密钥暴力破解、RSA/HMAC 算法混淆、JWK 头注入、KID 注入（路径遍历/SQL 注入）、声明篡改提权等。
使用方式：需准备 jwt_tool、Burp Suite（含 JWT 扩展）、Hashcat 或 John the Ripper、PyJWT、jwt.io。典型流程为解码分析令牌、侦察算法与敏感声明、逐项尝试攻击、用 jwt_tool 做综合扫描。常用命令：jwt_tool <token> 解码分析；jwt_tool <token> -T 篡改模式；jwt_tool <token> -C -d wordlist.txt 破解密钥；jwt_tool <token> -X a 执行 none 算法攻击；jwt_tool <token> -X k -pk key.pem 执行密钥混淆攻击；jwt_tool <token> -M at 运行全部测试。安装：git clone https://github.com/ticarpi/jwt_tool，随后 pip install -r requirements.txt。Hashcat 可用 -m 16500 模式破解 JWT。
适用场景：授权范围内的 Web 应用与 API 认证测试、JWT 实现审计、安全培训与 CTF。
限制：强密钥可抵抗暴力破解，正确的算法白名单可阻断混淆攻击，短过期时间缩小重放窗口，服务端校验可能发现篡改；部分攻击需先持有有效令牌，速率限制会阻碍爆破。测试前必须获得授权。