前言¶
现代 Web 与 API 普遍用 JWT 承载身份，用 OAuth 2.0 做授权与第三方登录。人工做渗透或代码审计时，往往要在「算法与密钥」「声明篡改」「回调与 state」「令牌泄露面」之间来回切换文档和 checklist，Agent 也容易泛泛而谈、漏掉可复现的测试顺序。
下面介绍 SkillHub 上的社区技能 JWT/OAuth令牌攻击（坐标 @user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6）。它把 JWT/OAuth 令牌相关任务收敛成可被 Agent 加载的 SKILL 包，目标是让助手在授权范围内的安全工作中，按统一上下文推进，而不是每次从零拼凑提示词。
这是什么¶
JWT/OAuth令牌攻击 是面向 AI Agent 的专用 Skill，简介为：JWT/OAuth 令牌攻击专用技能，帮助 AI Agent 高效完成相关任务。
- 维护方：SkillHub 社区发布者
user_3c6cb52e，来源标注为community。 - 分类：
it-ops-security。 - 当前版本：
1.0.0。 - 依赖：标签
requires_api_key=false，不强制配置第三方 API Key。
公开页面未附带完整 SKILL.md 正文；能力边界以 SkillHub 简介与安装后的本地 SKILL.md 为准。安装前不宜假设具体攻击条目或工具链。
核心功能（已核实范围）¶
根据 SkillHub 与 API 元数据，目前能确认的能力表述只有一层：
- 领域聚焦：JWT 与 OAuth 令牌相关的安全测试与任务编排（名称与简介一致）。
- Agent 集成：采用通用 Skill 格式，供 Cursor、Claude Code、Codex 等客户端在 skills 目录中加载后，由模型按技能说明执行。
- 无 Key 门槛：
requires_api_key=false，不依赖 SkillHub 侧额外密钥配置。
更细的步骤、检查清单或命令示例，需在安装成功后阅读技能目录内的 SKILL.md；本文不展开未在官方页面展示的条目。
安装与启用¶
SkillHub 页面给出的安装指引是：让 AI 参照 SkillHub 安装与优先源配置，安装坐标 @user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6。
1、安装 SkillHub CLI¶
先确认本机是否已有 CLI：
command -v skillhub && skillhub --version
若未安装，可按官方文档执行完整安装（CLI + 默认 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
仅安装 CLI 时：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
2、安装到当前 Agent 的 skills 目录¶
官方强调：安装时必须用 --dir 指向当前 Agent 识别的 skills 目录，否则默认落在 ./skills/ 可能不会被加载。
skillhub install user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6 --dir <你的 skills 目录>
常用路径（来自 SkillHub 安装文档）：
| 客户端 | skills 目录 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或项目下 .agents/skills/ |
| Windsurf | ~/.codeium/windsurf/skills/ 或项目下 .windsurf/skills/ |
示例（Cursor）：
skillhub install user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6 --dir ~/.cursor/skills/
安装后按所用客户端要求刷新或重启，使新 Skill 进入可用列表。若 CLI 提示索引无匹配，页面亦建议通过 slug 直接安装；仍失败时以 SkillHub 技能页 与 CLI 报错为准排查。
典型用法¶
官方资料给出的可复现流程主要是「安装坐标 + 让 Agent 读取 SKILL.md」：
- 完成上一节安装，确认技能目录下存在该 Skill 的文件（通常含
SKILL.md）。 - 在对话中说明任务场景（例如：对已授权目标做 JWT/OAuth 相关安全评估），并明确要求遵循已安装的 JWT/OAuth令牌攻击 技能。
- 由 Agent 根据
SKILL.md中的步骤与检查项输出测试思路、请求构造或审计要点。
SkillHub 技能页未提供独立于安装之外的官方演示脚本或样例仓库链接；典型用法即「加载技能 → 在授权范围内执行任务」。
适用场景与注意¶
适合谁
- 安全工程师、渗透测试人员在已取得书面授权的前提下，希望 Agent 在 JWT/OAuth 令牌主题上保持一致的测试语境。
- 开发与 SRE 在内部安全演练或红蓝对抗剧本中，需要助手按 Skill 结构复述风险点与验证顺序（仍以人工复核为准）。
限制与注意
- 技能内容为攻击性安全知识，仅用于合法授权测试；未授权扫描或利用可能违法。
- 社区来源（
community），使用前请自行评估内容与本地合规要求；SkillHub 元数据中的评分为100000，下载量1266，安装计数0，反映的是平台统计，不代表你环境中的可用性。 - 公开简介未列出细粒度能力，勿默认与同名开源 playbook 完全等价；以你安装得到的
SKILL.md为唯一操作依据。
结尾¶
JWT/OAuth令牌攻击 在 SkillHub 上定位为 JWT/OAuth 令牌方向的 Agent 专用技能，版本 1.0.0，无需 API Key。价值在于把令牌相关任务沉淀为可加载的 Skill，减少重复提示词，并把执行细节交给安装后的 SKILL.md。
- 技能页：https://www.skillhub.cn/skills/user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6
- API 元数据：https://api.skillhub.cn/user_3c6cb52e/jwt-oauth-token-attacks-lr-0xh6
- 安装说明：https://skillhub.cn/install/skillhub.md
