Ein einziges jwt.decode(token) anstelle von jwt.verify oder ein einziges process.env.JWT_SECRET || 'secret' genügt, damit sich jeder als beliebiger Benutzer anmelden kann. Dieser Skill findet diese und zehn weitere JWT-Fehler vor der Veröffentlichung und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihren JavaScript-/TypeScript-, Python-, Go-, Java-, PHP- und Ruby-Code sowie Ihre Abhängigkeitsdateien aus. Er kennt die tatsächlichen APIs von jsonwebtoken, jose, PyJWT, python-jose, golang-jwt, jjwt, java-jwt, Nimbus, firebase/php-jwt und ruby-jwt, überspringt Kommentare, Zeichenfolgen und Tests und verfolgt Schlüsselvariablen bis zu ihrem Wert innerhalb derselben Datei. Übliche Aufrufe mit Verifizierung werden nicht beanstandet: jwt.verify mit algorithms, PyJWT decode mit algorithms und einem Schlüssel sowie ParseWithClaims mit einer Schlüsselfunktion, die die Signaturmethode prüft. Der Scanner führt Ihren Code niemals aus. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• W01: Lesen von Tokens ohne Signaturprüfung (jwt.decode, decodeJwt, verify_signature False, get_unverified_claims, ParseUnverified, java-jwt JWT.decode, JWT.decode(token, key, false), manuell aus Base64 dekodierte Nutzdaten) in einer Funktion, die den Token nie verifiziert

• W02: der Algorithmus none ('none' in einer Algorithmenliste, UnsecuredJWT, SigningMethodNone, Algorithm.none(), jjwt unsecured() und parseClaimsJwt, Nimbus PlainJWT)

• W03: Auswahl des Algorithmus durch den Token (PyJWT oder python-jose decode ohne algorithms, get_default_algorithms(), header['alg'])

• W04: fest hinterlegte Signaturschlüssel, direkt oder über eine Variable wie $key = '...' übergeben, sowie Ersatzgeheimnisse wie process.env.JWT_SECRET || 'dev-secret'

REVIEW (vor dem Release prüfen)

• W11: Tokens ohne Ablaufdatum oder mit einer Gültigkeit von mehr als 30 Tagen

• W12: Tokens in localStorage oder sessionStorage

• W13: Token- und Sitzungs-Cookies ohne HttpOnly, Secure oder SameSite sowie Tokens in document.cookie

• W14: ignoreExpiration, deaktiviertes verify_exp, übersprungene Claims-Prüfung, Zeittoleranz von mehr als 5 Minuten

• W15: Annahme von JWKS-Tokens (SSO) ohne Prüfung von Zielgruppe und Aussteller

• W16: Tokens in URLs und Query-Strings

• W17: jsonwebtoken vor Version 9, PyJWT vor 2.4.0, python-jose 3.3.0 oder älter, firebase/php-jwt vor 6, golang-jwt vor v4.5.2 / v5.2.2, dgrijalva/jwt-go

• W18: verify ohne feste Algorithmenliste, golang-jwt-Schlüsselfunktionen ohne Methodenprüfung, HS und RS in derselben Liste

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt (Node-API, Browser-Client, Python-Dienst, Java-Dienst) sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Der Code wird als Text analysiert, ohne Compiler: Werte werden innerhalb einer Datei nachverfolgt, sodass in anderen Dateien definierte Schlüssel oder Optionen nicht erkannt werden. Andere JWT-Bibliotheken (jwt-decode im Browser, lcobucci/jwt, Authlib, jwx, .NET) und Lockdateien werden nicht geprüft. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 22 Dateien: SKILL.md, der Scanner unter scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (14 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.