GitGuardian：仅15%泄露JWT可经OIDC校验

GitGuardian 对约 240 万个泄露 JWT 的研究显示，OIDC 签名校验只能覆盖其中 15%，且有效签名既不能指明签发服务，也不能说明令牌是否仍可用。 该博客演示了用 curl、jq、openssl 和少量 Python 逐条验证 Google id_token 的方法。GitGuardian 称，该方法仅适用于非对称签名令牌，且仅限遵循 OIDC 协议的服务；这类令牌占其检测到的 JWT 的 15%。 GitGuardian 称，为这项研究构建的规则自 8 月 5 日起已在生产环境运行，实时验证覆盖 Supabase、MetaAPI Cloud 等部分服务。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。