前言¶
在 Web 与 API 安全里，JSON Web Token（JWT）既是常见鉴权载体，也是渗透与代码审计里的高频检查点。算法混淆、none、弱密钥、错误校验逻辑等问题，往往需要结合规范、工具链和测试步骤逐项排查。若把这些经验零散写在对话里，Agent 容易漏步骤、用错命令，或把未授权目标当成练习环境。
下面介绍 SkillHub 上的社区 Skill「攻击性JWT」。它把 JWT 攻防相关任务收敛成 Agent 可加载的 SKILL.md 指令包，便于在 Cursor、Claude Code 等支持 Skills 的客户端里复用同一套工作方式。
这是什么¶
「攻击性JWT」是发布在 SkillHub 的社区技能，坐标为 @user_3c6cb52e/offensive-jwt-lr-trtm，当前版本 1.0.0，分类为 it-ops-security，发布者为 user_3c6cb52e，来源标注为 community。
官方简介只有一句定位：攻击性 JWT 专用技能，帮助 AI Agent 高效完成相关任务。页面未单独列出子命令或脚本清单；按 SkillHub 通用形态，技能内容以 SKILL.md 为主，由 Agent 在匹配任务时读取并执行其中的流程与约束。元数据标签 requires_api_key=false，表示安装与使用不依赖额外 API Key 配置。
SkillHub 展示页：https://www.skillhub.cn/skills/user_3c6cb52e/offensive-jwt-lr-trtm
API 条目地址：https://api.skillhub.cn/user_3c6cb52e/offensive-jwt-lr-trtm
核心功能（以公开说明为准）¶
已抓取与页面可见信息中，能核实的能力边界如下：
- 任务域：面向「攻击性 JWT」场景——即在授权安全测试、攻防演练或自有系统审计中，由 Agent 协助梳理 JWT 相关检查与利用思路（具体步骤以安装后的 SKILL.md 为准，本文不展开未公开条目）。
- 载体形式：标准 Agent Skill，通过目录下的 SKILL.md 向模型注入领域上下文与操作顺序，减少每次从零描述 JWT 测试流程的成本。
- 依赖：无需 API Key（
requires_api_key=false），适合本地或内网 Agent 环境直接启用。
若需确认某一条检测项或命令是否属于本 Skill，应在安装后打开技能目录中的 SKILL.md 对照，勿凭猜测扩展能力列表。
安装与启用¶
安装流程遵循 SkillHub 官方文档 SkillHub 安装与优先源配置。先做 CLI 检查，再把技能装进当前 Agent 的 skills 目录。
1、检查 skillhub CLI
command -v skillhub && skillhub --version
未安装时，可用官方脚本安装（完整包含 CLI 与默认 Skill；仅需 CLI 时加 --cli-only）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
2、安装「攻击性JWT」到当前 Agent 的 skills 目录
安装时必须使用 --dir，指向本机 Agent 实际识别的 skills 路径，否则默认落在 ./skills/ 可能不会被加载。
skillhub install user_3c6cb52e/offensive-jwt-lr-trtm --dir ~/.cursor/skills/
常用路径（摘自官方安装文档，按你当前客户端择一）：
- Cursor：
~/.cursor/skills/ - Claude Code：
~/.claude/skills/ - Codex：
~/.codex/skills/或项目下的.agents/skills/
3、通过自然语言让 Agent 代为安装（页面推荐方式）
SkillHub 技能页提供的提示词为：
请根据 https://skillhub.cn/install/skillhub.md，安装 `@user_3c6cb52e/offensive-jwt-lr-trtm`。
将上述内容发给已联网、具备终端权限的 Agent 即可按文档完成 CLI 检查与 --dir 安装。安装后按各客户端要求重启或刷新技能列表，使 SKILL.md 生效。
典型用法¶
公开资料未附带独立「一键脚本」示例；可复现的用法是：安装技能后，在对话中明确 JWT 攻防或审计目标，并限定授权范围，由 Agent 加载 offensive-jwt-lr-trtm 中的 SKILL.md 推进。例如：
我已安装 @user_3c6cb52e/offensive-jwt-lr-trtm。目标是我方测试环境的登录 API，仅使用测试账号与签发给我的 JWT。请按该 Skill 检查令牌算法、签名验证与常见误配置，并给出复现步骤与修复建议。
具体输出结构、检查清单与工具调用以技能包内 SKILL.md 为准；若 Agent 未自动选用该 Skill，可在任务描述中再次写明坐标 @user_3c6cb52e/offensive-jwt-lr-trtm。
适用场景与注意¶
适合谁
- 做 Web/API 渗透、红队演练或安全代码审计的工程师，希望 Agent 按固定套路处理 JWT 相关问题。
- 已在 Cursor、Claude Code、Codex 等环境使用 Skills，需要把 JWT 攻防经验沉淀为可安装包的同学。
限制与注意
- 分类为 it-ops-security，内容偏攻击向；仅应在取得授权的目标或自有系统上使用，遵守当地法律与单位安全制度。
- 社区来源（community），维护节奏与详细 changelog 以 SkillHub 页面为准；安装前可在商店页查看版本 v1.0.0 与下载情况。
- 公开元数据未要求 API Key，但若你本地 SKILL.md 或后续版本引用外部工具，仍需自行配置相应环境变量或密钥。
- SkillHub 统计（以脚本抓取为准）：评分 100000，下载 1142，安装计数 0——安装数可能因统计口径未更新，以本机
skills目录是否出现@user_3c6cb52e/offensive-jwt-lr-trtm为准。
结尾¶
「攻击性JWT」把 JWT 攻防任务封装成 Agent Skill，免 API Key，通过 SkillHub 一键装进各客户端的 skills 目录。若你正在把 JWT 测试流程标准化给 Agent 使用，可从官方页面获取坐标与安装提示，再对照本地 SKILL.md 落实具体步骤。
- SkillHub 展示页：https://www.skillhub.cn/skills/user_3c6cb52e/offensive-jwt-lr-trtm
- API 条目：https://api.skillhub.cn/user_3c6cb52e/offensive-jwt-lr-trtm
- 安装说明：https://skillhub.cn/install/skillhub.md
