前言¶
在 Web 與 API 安全裏，JSON Web Token（JWT）既是常見鑒權載體，也是滲透與代碼審計裏的高頻檢查點。算法混淆、none、弱密鑰、錯誤校驗邏輯等問題，往往需要結合規範、工具鏈和測試步驟逐項排查。若把這些經驗零散寫在對話裏，Agent 容易漏步驟、用錯命令，或把未授權目標當成練習環境。
下面介紹 SkillHub 上的社區 Skill「攻擊性JWT」。它把 JWT 攻防相關任務收斂成 Agent 可加載的 SKILL.md 指令包，便於在 Cursor、Claude Code 等支持 Skills 的客戶端裏複用同一套工作方式。
這是什麼¶
「攻擊性JWT」是發佈在 SkillHub 的社區技能，座標爲 @user_3c6cb52e/offensive-jwt-lr-trtm，當前版本 1.0.0，分類爲 it-ops-security，發佈者爲 user_3c6cb52e，來源標註爲 community。
官方簡介只有一句定位：攻擊性 JWT 專用技能，幫助 AI Agent 高效完成相關任務。頁面未單獨列出子命令或腳本清單；按 SkillHub 通用形態，技能內容以 SKILL.md 爲主，由 Agent 在匹配任務時讀取並執行其中的流程與約束。元數據標籤 requires_api_key=false，表示安裝與使用不依賴額外 API Key 配置。
SkillHub 展示頁：https://www.skillhub.cn/skills/user_3c6cb52e/offensive-jwt-lr-trtm
API 條目地址：https://api.skillhub.cn/user_3c6cb52e/offensive-jwt-lr-trtm
核心功能（以公開說明爲準）¶
已抓取與頁面可見信息中，能覈實的能力邊界如下：
- 任務域：面向「攻擊性 JWT」場景——即在授權安全測試、攻防演練或自有系統審計中，由 Agent 協助梳理 JWT 相關檢查與利用思路（具體步驟以安裝後的 SKILL.md 爲準，本文不展開未公開條目）。
- 載體形式：標準 Agent Skill，通過目錄下的 SKILL.md 向模型注入領域上下文與操作順序，減少每次從零描述 JWT 測試流程的成本。
- 依賴：無需 API Key（
requires_api_key=false），適合本地或內網 Agent 環境直接啓用。
若需確認某一條檢測項或命令是否屬於本 Skill，應在安裝後打開技能目錄中的 SKILL.md 對照，勿憑猜測擴展能力列表。
安裝與啓用¶
安裝流程遵循 SkillHub 官方文檔 SkillHub 安裝與優先源配置。先做 CLI 檢查，再把技能裝進當前 Agent 的 skills 目錄。
1、檢查 skillhub CLI
command -v skillhub && skillhub --version
未安裝時，可用官方腳本安裝（完整包含 CLI 與默認 Skill；僅需 CLI 時加 --cli-only）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
2、安裝「攻擊性JWT」到當前 Agent 的 skills 目錄
安裝時必須使用 --dir，指向本機 Agent 實際識別的 skills 路徑，否則默認落在 ./skills/ 可能不會被加載。
skillhub install user_3c6cb52e/offensive-jwt-lr-trtm --dir ~/.cursor/skills/
常用路徑（摘自官方安裝文檔，按你當前客戶端擇一）：
- Cursor：
~/.cursor/skills/ - Claude Code：
~/.claude/skills/ - Codex：
~/.codex/skills/或項目下的.agents/skills/
3、通過自然語言讓 Agent 代爲安裝（頁面推薦方式）
SkillHub 技能頁提供的提示詞爲：
請根據 https://skillhub.cn/install/skillhub.md，安裝 `@user_3c6cb52e/offensive-jwt-lr-trtm`。
將上述內容發給已聯網、具備終端權限的 Agent 即可按文檔完成 CLI 檢查與 --dir 安裝。安裝後按各客戶端要求重啓或刷新技能列表，使 SKILL.md 生效。
典型用法¶
公開資料未附帶獨立「一鍵腳本」示例；可復現的用法是：安裝技能後，在對話中明確 JWT 攻防或審計目標，並限定授權範圍，由 Agent 加載 offensive-jwt-lr-trtm 中的 SKILL.md 推進。例如：
我已安裝 @user_3c6cb52e/offensive-jwt-lr-trtm。目標是我方測試環境的登錄 API，僅使用測試賬號與簽發給我的 JWT。請按該 Skill 檢查令牌算法、簽名驗證與常見誤配置，並給出復現步驟與修復建議。
具體輸出結構、檢查清單與工具調用以技能包內 SKILL.md 爲準；若 Agent 未自動選用該 Skill，可在任務描述中再次寫明座標 @user_3c6cb52e/offensive-jwt-lr-trtm。
適用場景與注意¶
適合誰
- 做 Web/API 滲透、紅隊演練或安全代碼審計的工程師，希望 Agent 按固定套路處理 JWT 相關問題。
- 已在 Cursor、Claude Code、Codex 等環境使用 Skills，需要把 JWT 攻防經驗沉澱爲可安裝包的同學。
限制與注意
- 分類爲 it-ops-security，內容偏攻擊向；僅應在取得授權的目標或自有系統上使用，遵守當地法律與單位安全制度。
- 社區來源（community），維護節奏與詳細 changelog 以 SkillHub 頁面爲準；安裝前可在商店頁查看版本 v1.0.0 與下載情況。
- 公開元數據未要求 API Key，但若你本地 SKILL.md 或後續版本引用外部工具，仍需自行配置相應環境變量或密鑰。
- SkillHub 統計（以腳本抓取爲準）：評分 100000，下載 1142，安裝計數 0——安裝數可能因統計口徑未更新，以本機
skills目錄是否出現@user_3c6cb52e/offensive-jwt-lr-trtm爲準。
結尾¶
「攻擊性JWT」把 JWT 攻防任務封裝成 Agent Skill，免 API Key，通過 SkillHub 一鍵裝進各客戶端的 skills 目錄。若你正在把 JWT 測試流程標準化給 Agent 使用，可從官方頁面獲取座標與安裝提示，再對照本地 SKILL.md 落實具體步驟。
- SkillHub 展示頁：https://www.skillhub.cn/skills/user_3c6cb52e/offensive-jwt-lr-trtm
- API 條目：https://api.skillhub.cn/user_3c6cb52e/offensive-jwt-lr-trtm
- 安裝說明：https://skillhub.cn/install/skillhub.md
