JJWT · 密码资产盘点

仓库 jwtk/jjwt · JWT 库本身，测试资源里有大量真实证书 · 扫描于

455扫描文件

46发现

26已确认

7高/严重

这份报告在说什么

静态扫描只回答一件事：这个仓库里，密码算法和密码库出现在哪里、用的是什么。它不回答"有没有漏洞"，也不回答"是不是真的暴露在生产环境"。

「已确认」= 算法名能在代码里确定（字面量，或本文件内唯一的常量赋值）；「疑似」= 找到了密码调用，但算法名来自变量、配置或依赖注入，静态无法确定。

发现明细（按文件顺序，最多 15 条 / 共 46 条）

风险	算法	位置	置信度	建议动作
高	ECDSA-SHA256-256	impl/src/test/resources/io/jsonwebtoken/impl/security/ES256.crt.pem:1	已确认	仅记录
高	ECDSA-SHA256-384	impl/src/test/resources/io/jsonwebtoken/impl/security/ES384.crt.pem:1	已确认	仅记录
高	ECDSA-SHA256-521	impl/src/test/resources/io/jsonwebtoken/impl/security/ES512.crt.pem:1	已确认	仅记录
高	Ed25519-256	impl/src/test/resources/io/jsonwebtoken/impl/security/Ed25519.crt.pem:1	已确认	仅记录
高	SHA256-RSA-2048	impl/src/test/resources/io/jsonwebtoken/impl/security/RS256.crt.pem:1	已确认	仅记录
高	SHA256-RSA-3072	impl/src/test/resources/io/jsonwebtoken/impl/security/RS384.crt.pem:1	已确认	仅记录
高	SHA256-RSA-4096	impl/src/test/resources/io/jsonwebtoken/impl/security/RS512.crt.pem:1	已确认	仅记录
信息	jjwt-api	extensions/gson/pom.xml	仅依赖	仅记录
信息	jjwt-api	extensions/jackson/pom.xml	仅依赖	仅记录
信息	jjwt-api	extensions/orgjson/pom.xml	仅依赖	仅记录
信息	jjwt-api	impl/pom.xml	仅依赖	仅记录
信息	jjwt-gson	impl/pom.xml	仅依赖	仅记录
信息	jjwt-jackson	impl/pom.xml	仅依赖	仅记录
信息	jjwt-orgjson	impl/pom.xml	仅依赖	仅记录
信息	unknown	impl/src/main/java/io/jsonwebtoken/impl/security/JcaTemplate.java:440	疑似	仅记录

本次没扫什么（这一节比上面重要）

impl/src/test/resources/io/jsonwebtoken/impl/security/ES256.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/ES384.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/ES512.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/Ed25519.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/Ed448.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/PS256.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/PS384.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/PS512.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/RS256.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/RS384.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/RS512.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/X25519.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
impl/src/test/resources/io/jsonwebtoken/impl/security/X448.pub.pem：有 1 个 PEM 块，但没有证书或私钥块（可能只有公钥/CSR），未计入发现
id 哈希冲突：QS-0917, QS-4100, QS-8314, QS-8390, QS-8398。id 由 FNV-1a32 取模 10000 派生，冲突时两条发现的 id 相同；v0.1 不额外加序号（加了会让后续扫描的 id 漂移）。
源码级判定只覆盖 Java：扫描 *.java 与 pom.xml；其他语言的源码只计入 target.languages，不做 API 级判定（不是「扫了没发现」）。
依赖级判定覆盖 pom.xml、build.gradle(.kts)、go.mod、requirements.txt、package.json、package-lock.json、yarn.lock、CMakeLists.txt、vcpkg.json、conanfile.txt，且只认已知密码库表：其余依赖不会被报出来，所以「没报」不等于「没用密码」。
证书只解析公钥与元数据（主体/签发者 CN、签名算法、公钥算法与位数、有效期）；私钥文件只识别 PEM 块类型与算法，不解析私钥内容，也不输出任何密钥字节。
PKCS#12（.p12/.pfx）与 JKS（.jks/.keystore）不解析、不解密，只报一条 info 级「存在密钥容器，需人工核查」。
证书/私钥是文件级资产：evidence.line 固定为 1，不在文件内定位行号；依赖级 evidence.line 固定为 0。
pom.xml 的 parent 继承未解析：子模块未显式声明的 version 可能留空或保留 ${...} 占位符，dependencyPath 只含直接坐标。
pom.xml 只取 <dependencies> 下的直接子节点；<dependencyManagement>、<profiles>、BOM import 都不参与判定。
源码按行扫描：跨行书写的调用（括号内参数换行）判为 likely，不判 confirmed。
已跳过注释与字符串字面量内部的匹配（跨行状态机）；但 Java 15 的 text block（"""..."""）与 Unicode 转义仍可能判错。
密钥长度只在 KeyPairGenerator 命中行及其后 3 行内查找 initialize(<数字>)，其他算法不推断长度；证书的位数来自公钥本身。
依赖级发现不映射清单行号，因此 SARIF 里这类结果不带 region。
符号链接不跟随，扫描范围不会跑出扫描根。
默认排除目录：target、build、.git、node_modules（--exclude 在此之上叠加）。
非 UTF-8 源文件按原始字节读取，JSON 输出时非法字节会被替换为 U+FFFD。
risk.categories 允许为空数组（= 无已知风险，此时 risk.level 必须是 info）：后量子算法、TLS1.2/1.3 等无风险项输出空数组，不自造枚举值。