[前菜]一个任意密码找回思路，当使用验证问题来验证用户，如“你最喜欢的动物”，如果逻辑是既验证键名也验证键值，可以通过构造一个不存在的键名进行绕过
JWT:JSON WEB TOKEN允许客户端指示身份，以便身份验证，类似cookie、session
JWT由三个部分组成：
header.payload.signature //如果出现在cookie一栏，可判断为JWT，在网上解密JWT可以恢复明文
针对JWT的攻击：
1.空加密算法
不生成密钥，前提是服务器支持不使用密钥:
把第一部分的base64解码，然后把alg字段设置为none，然后删除第三部分，但是保留点。
eyJ0eXAiOiJKV1QiLCJhbGciOiJub25lIn0=.eyJ1c2VybmFtZSI6ImFkbWluIiwiZXhwIjoxNzAxNzQ3NDQ3fQ==.
2.密钥爆破
可以用脚本跑字典爆破
3.组件安全