JSON Web Token
PulseAugur coverage of JSON Web Token — every cluster mentioning JSON Web Token across labs, papers, and developer communities, ranked by signal.
6 天有情绪数据
-
PostgreSQL RLS 策略导致无限递归循环
一位开发者在使用 Supabase 时，在 PostgreSQL 的行级安全 (RLS) 策略中遇到了无限递归错误。问题源于 `public.cours` 表上的一个策略查询了 `public.user_roles` 表，而 `public.user_roles` 表本身也有查询 `public.user_roles` 的策略。当向 `authenticated` 成员资格添加新的 `agent_readonly` 角色时，这会创建一…
-
Supabase 数据库错误导致多起事件中数据静默失败
一位开发者遇到了 Supabase 的一个反复出现的问题，即数据库查询会静默失败，返回不正确或不完整的数据，但不会引发任何异常。在一周内，这种模式出现在四起独立的事件中，涉及默认 SQL 函数授权、ON DELETE SET NULL 级联、RLS 递归以及因回退到按 ctid 排序而导致查询结果上限为 1000 行等问题。在每种情况下，数据库都会执行查询，返回 200 状态码，但提供误导性数据，绕过了应用程序日志和错误跟踪。
-
LiteLLM开源LLM网关经审计后被评定为“有条件生产就绪”
对开源LLM网关LiteLLM进行的、采用关注生产就绪性的结构化方法的审计发现，该网关“有条件生产就绪”。审查了治理、故障转移行为、入职、可观测性、路由、成本控制和密钥管理七个维度，发现LiteLLM在身份、密钥、可观测性以及路由/成本控制方面表现强劲。虽然大多数安全关键维度得分良好，但一些高级功能，如MCP服务器的令牌交换和特定的可观测性配置，被指出是操作员启用而非默认设置。
-
新工具审计 MCP 服务器安全，发现普遍漏洞
一款名为 mcp-audit 的新开源工具已发布，旨在帮助用户识别其 MCP (模型中心编程) 服务器配置中的安全漏洞和效率低下问题。该工具由 alih552 开发，用于扫描本地 MCP 设置中是否存在诸如未经验证的远程服务器、配置文件中的明文密钥、未固定的可执行文件版本、过度的文件系统访问以及过多的令牌使用等问题。对公共 MCP 服务器的分析显示存在重大的安全风险，其中 41% 缺乏身份验证，36.7% 容易受到服务器端请求伪造的攻击。
-
AI系统Chai发现超过100个加密漏洞，包括一个关键漏洞
研究人员开发了Chai，一个旨在识别加密滥用漏洞的AI系统。与以往关注单一代码库的方法不同，Chai在库级别对缺陷进行编目，并通过依赖图进行传播，以提高效率。该系统在X.509、JWT和SAML库上进行了评估，发现了100多个漏洞，包括一个影响数十亿设备使用的SSL库中的关键漏洞以及主要Linux发行版中的错误。
-
AI 代理现在可以使用 HTTP 402 状态码支付 API 费用
一位开发者概述了一个系统，允许 AI 代理使用 HTTP 402 Payment Required 状态码支付 API 调用费用。该方法涉及一个网关，该网关验证有预算上限的代币，从而防止 AI 代理成本失控。付款通过 Stripe Checkout 等服务预先处理，代币的预算会根据每次 API 使用量进行扣减。
-
开发者创建Claude代码技能以自动化NestJS开发
一位开发者创建了一系列“Claude代码技能”，旨在简化NestJS开发。这些技能可以直接放入~/.claude/skills/目录中，自动化生成常见的NestJS模式，如模块、服务、控制器和测试设置。这些技能涵盖了TypeORM集成、BullMQ队列、WebSocket网关、JWT认证、Redis缓存、Docker配置和测试框架等领域，旨在减少NestJS开发者的重复编码任务。
-
JWT 在微服务动态授权方面存在不足
本文认为，JSON Web Tokens (JWT) 虽然在身份验证方面很有用，但对于现代应用程序中的健壮授权来说却不够。核心问题在于，JWT 仅提供用户身份和角色在签发时的静态声明，却无法考虑资源状态、组织策略或实时上下文等动态因素。在微服务架构中，这种局限性尤其成问题，因为在微服务架构中，复杂、依赖于上下文的授权规则很常见，并且在分布于多个服务时难以管理。
-
AI 智能体工具市场移除 API 密钥，引发身份识别和争议挑战
Monid 2.0 在 Product Hunt 上发布，旨在通过消除 API 密钥并允许从智能体钱包进行按次付费来简化智能体工具集成。该基础设施允许自主智能体在无需事先注册或人工干预的情况下发现和使用 200 多种工具。然而，移除 API 密钥也移除了关键的身份信息，导致工具提供商无法追踪智能体行为、识别负责任的操作者或撤销不当行为智能体的访问权限。
-
Codens 推出新 PyPI 包，简化设置，减少上手障碍
作者描述了一个新的 PyPI 包 "codens-mcp" 的开发过程，该包旨在简化其 AI 工具套件的上手流程。此前，用户需要配置五个独立的服务器条目并运行多个登录命令，这导致用户体验不佳和流失。新包将这些工具整合到一次安装中，简化了设置并改善了用户体验。它还引入了设备代码流，以便在远程或容器化环境中更轻松地登录。
-
AI 编码工具需要明确的意图来弥合运行代码与生产就绪之间的差距
一份面向软件工程师的指南强调了 AI 生成的代码在运行与适合生产之间存在的显著差距。它强调了在使用 AI 编码工具时明确意图和具体提示的重要性，因为模糊的请求可能导致 AI 做出次优或过时的选择。文章还解释说，AI 代码生成依赖于概率模型，这些模型根据训练数据预测最有可能的下一个 token，这有时会导致代码不正确或已弃用。