jwt-security-review — скилл для Claude Code: что делает и как ставить
Находит уязвимости в реализации JWT: путаницу алгоритмов, слабые секреты и ошибки валидации клеймов. Пригодится при ревизии серверной аутентификации.
npx skills add securityskills/skills --skill jwt-security-review -a claude-codeЧто делает jwt-security-review
Скилл инструктирует ИИ-агента провести сквозную проверку работы с токенами в проекте. Ассистент ищет подмену алгоритма RS256 на HS256, инъекции в заголовок kid и пропуск проверки подписи из-за вызова jwt.decode вместо верификации.
Проверяется также жизненный цикл токенов. Агент смотрит, настроена ли ротация refresh-токенов с отслеживанием повторного использования и ограничено ли время жизни access-токенов пятнадцатью минутами. Если секрет HS256 короче 32 байт или взламывается по словарям, авторизацию нельзя считать защищённой.
В отчёте ассистент показывает проблемные участки кода, примеры сформированных тестовых токенов со скрытыми чувствительными данными и пошаговые инструкции по исправлению.
Какие задачи решает
- найти ошибки валидации полей exp, iss и aud
- выявить путаницу ключей RS256 и HS256 при проверке подписи
- проверить устойчивость refresh-токенов к повторному использованию
- обнаружить сохранение токенов в localStorage при рисках XSS
Примеры запросов агенту
- Проверь файл auth.js на уязвимости реализации JWT
- Проведи аудит валидации токенов доступа и ротации refresh-токенов в сервисе авторизации
- Найди потенциальные проблемы с алгоритмами подписи и заголовком kid в jwt.middleware.ts
Как установить jwt-security-review
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill jwt-security-review -a claude-code2Вручную: положить файлы
~/.claude/skills/jwt-security-review/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/jwt-security-review/
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill jwt-security-review -a codex2Вручную: положить файлы
.agents/skills/jwt-security-review/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill jwt-security-review -a cursor2Вручную: положить файлы
.cursor/skills/jwt-security-review/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install securityskills/skills jwt-security-review2Вручную: положить файлы
.github/skills/jwt-security-review/SKILL.md1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill jwt-security-review -a gemini-cli2Командой платформы
gemini skills install https://github.com/securityskills/skills --path web-appsec/auth/jwt-security-reviewВручную: положить файлы
.devin/skills/jwt-security-review/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill jwt-security-review -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о jwt-security-review
Как установить jwt-security-review в Claude Code?
Выполните команду npx skills add securityskills/skills --skill jwt-security-review -a claude-code. Конфигурация запишется в ~/.claude/skills/jwt-security-review/SKILL.md.
Что делает скилл jwt-security-review?
Он запускает проверку серверного кода авторизации на базе JWT, выявляя небезопасную валидацию подписей, слабые ключи и недочёты в жизненном цикле сессий.
Какие тест-кейсы проверяет ассистент во время аудита?
Проверяется отправка токена с alg: none, подмена ключей при переключении с RS256 на HS256, просроченные токены и повторное применение сменённого refresh-токена.
