JWT密钥硬编码可能导致任意用户登录

[Ovi3]

在.env文件 里JWT Token硬编码。

c-shopping/.env

Line 3 in 1588741

NEXT_PUBLIC_ACCESS_TOKEN_SECRET=h1n0U6LHJtCZuWitwjn3oLd5qCRIgUFtemnjTrpfZLzVZ3ff0f

以 http://shop.huanghanlian.com/ 为例，可以任意构造一个合法的JWT。

JWT里由userid组成，userid是MongoDB的ObjectID， Object ID可以预测，见 https://book.hacktricks.xyz/v/cn/network-services-pentesting/27017-27018-mongodb#mongo-objectid-yu-ce 。

修复建议：

• 不使用硬编码的JWT密钥，项目初始化时随机生成

[huanghanzhilian]

谢谢建议，我会仔细研究这个问题并近期解决。