Hoffconna

评论了 记录一次JWT的越权渗透测试

就是jwt的token 和 uid没有绑定，用其他uid和自己的token通过getuserinfo接口可以获得该uid的token，然后直接用获得的信息请求其他接口就完成了越权。