VMP 保护客户端令牌解析时应保留哪些授权边界

先定结论：客户端只做预检，资源服务器拥有最终授权权力

JWT 或其他结构化 access token 在客户端可被解码并展示声明，但解码只是把文本转换成字段。真正的有效性至少还包含签名、issuer、audience、时间、token 类型和当前策略验证；业务授权还要结合账户状态、资源所有权、scope、撤销和风险控制。移动端任何本地结果都不应成为服务器放行依据。

VMP 范围应围绕客户端确实必须执行的有限职责：严格解析预期结构、把声明映射成非敏感界面状态、编排 Keystore 或 DPoP 密钥调用、在异常时清除缓存并回到登录。它可以增加修改这些控制流的成本，却不能把客户端本地的 isAdmin、isPremium 或 tokenValid 变量变成可信授权事实。

最危险的设计是先在客户端解析 role 或 scope，再决定是否发送高权限请求，而服务器只相信路径已经被界面隐藏。攻击者可直接构造请求或修改本地分支。正确架构允许客户端为了体验隐藏按钮，但每个资源端点仍根据已验证 token 和数据库状态做对象级授权，拒绝结果由服务器产生。

先拆开解码、验证、协议校验和业务授权

很多客户端库提供 decode 方法，它通常不验证签名。即使使用 verify，调用者也必须固定允许算法、密钥来源、issuer、audience、token 类型和时间策略。把 decode 成功、签名成功或 exp 尚未到期直接命名为 authorized，会让后续代码误用一个信息不足的结果。

建议使用不同类型表达各阶段。DecodedClaims 只能用于诊断和本地展示；LocallyPrecheckedToken 表示格式与时间预检通过；ServerSession 表示最近一次服务器确认的会话状态，但仍不能作为离线高权限依据。命名应迫使调用者看到证据等级，而不是把所有结果折叠成 true 或 false。

异常路径也要分层。格式错误可以立即丢弃，未知 issuer 或 audience 由服务器统一拒绝，网络失败不等于 token 有效或无效，401 与 403 需要分别触发重新认证或权限提示。客户端不得在验证服务不可达时默认放行，也不能为维持体验把过期字段改写到未来。

RFC 9068 的声明由资源服务器验证，不是客户端自我授权

RFC 9068 的 JWT access token profile 描述 issuer、subject、audience、expiry、client 标识和 scope 等声明，资源服务器用它们判断 token 是否为自己签发或可接受。客户端可以读取这些字段改善交互，但不能自行决定 issuer 是否受信、audience 是否包含目标资源或 scope 是否仍有效。

audience 尤其不能省略。一个为资源 A 签发且签名正确的 token，不应因为客户端能解码就发送给资源 B。客户端可根据配置选择目标，资源服务器仍必须检查自己的 audience。VMP 可以保护目标映射和错误分支，却无法阻止外部调用者绕开 App 直接向 API 发请求。

scope 表示授权范围的一部分，不等于业务对象权限。read:invoice 不能说明任意 invoice 都属于当前 subject，admin 字符串也不应绕过租户状态和风控策略。服务器先验证 token，再根据主体、资源和当前数据库做决策；客户端 scope 只适合作为界面预览和请求规划。

原生 App 是公共客户端，不能用 APK 内 secret 建立信任

RFC 8252 将原生 App 视为公共客户端，因为分发到用户设备的二进制无法可靠保存共享 client secret。把 secret 字符串藏进 VMP、资源、原生库或动态配置可以增加提取成本，但不能让授权服务器把它当作只有官方 App 才知道的机密，也不应据此放宽 token 签发策略。

原生授权流程应使用外部 user-agent 和 PKCE，将授权请求与回调交换绑定。VMP 可保护 code verifier 生命周期、状态参数校验和回调错误处理的客户端实现，但授权服务器仍要验证 verifier、redirect URI、授权码单次使用和客户端类型。保护工具不能替代协议控制。

本地深链和回调处理属于输入边界。客户端要拒绝缺失 state、重复回调、未知 scheme 或不符合预期来源的结果，并避免把授权码写入日志。是否颁发 access token 始终由授权服务器决定；客户端发现格式正常只说明可继续交换，不说明用户已经授权某项业务操作。

DPoP 与 Keystore 降低滥用风险，但不创造设备可信

RFC 9449 的 DPoP 把 access token 与客户端持有密钥关联，并让请求证明携带方法、URI、时间和唯一标识。客户端可在 Android Keystore 中生成或保存不可导出的密钥句柄，再由受保护编排代码构造证明。这能降低单纯复制 bearer token 后的重放价值，但仍存在应用内调用被驱动的风险。

Android Keystore 可限制密钥算法、用途和用户认证条件，并在设备支持时使用硬件保护。VMP 不应复制原始私钥，而应保护 key alias 选择、证明输入组装、异常策略和轮换状态。API 调用成功也不能外推所有设备具有相同安全级别，需要真实设备和 KeyInfo 证据。

资源服务器必须验证 DPoP proof 的签名、目标方法与 URI、时间、唯一标识以及 access token 绑定，并执行自己的重放状态和授权。DPoP 不能证明设备没有被控制，Keystore 不能保护交给业务函数后的明文，VMP 也不能替代短有效期、撤销、限速和异常检测。

VMP 只覆盖稳定的小方法，不包住整个 JOSE 与网络栈

优先候选是字段到本地展示状态的白名单映射、token 类型分派、Keystore 证明调用编排、刷新失败清理和禁止降级分支。它们输入输出有限，泄露后会降低篡改成本，而且可用固定测试向量验证。保护规则应匹配准确方法签名，避免把同名重载或生成代码误纳入。

成熟 JOSE 库、Base64URL 解码、JSON 解析、HTTP 客户端、TLS、系统浏览器和回调框架通常保持在 VMP 外。整体虚拟化会放大兼容和性能风险，却不改变服务器是否验证签名与授权。依赖库应通过版本锁定、供应链审查和标准测试向量治理，而不是依赖实现不可见。

方法切片还要检查旁路。若另一个代码路径能直接写入 premium=true、跳过服务器响应或在 401 后保留敏感缓存，保护主解析器没有形成完整边界。发布评审应结合调用图、本地状态写入点、服务端拒绝用例和日志脱敏检查，但不能把静态覆盖写成运行时已不可绕过。

本地缓存与过期预检只能改善体验，不能作为离线授权

客户端可以缓存少量非敏感展示信息和 token 到期时间，用于提前刷新或显示重新登录提示。缓存记录应绑定 issuer、audience、subject、客户端版本与获取时间，敏感 token 使用平台安全存储并限制日志。即便缓存字段看起来完整，也不能在服务器不可达时自动放行购买、管理或数据导出。

时钟偏差需要明确策略。客户端 exp 预检应保守地提前刷新，最终过期判断使用服务器时间与协议允许的有限偏差。用户修改设备时间时，客户端最多改变界面提示，资源服务器仍会拒绝不满足时间条件的 token。VMP 保护时间分支不能把不可信本地时钟变成权威时钟。

清理策略要覆盖退出登录、刷新失败、issuer 变化、应用数据迁移和服务器撤销响应。本地展示状态从缓存重建时默认最小权限，等待服务器确认后再显示受保护入口。相邻的离线许可属于另一套信任与有效期模型，不能用 access token 解析规则直接替代。

用公开声明样例生成授权边界表，不验证真实 token

下面的 Python 示例读取一个不含真实凭据的 JSON claims 文件，检查根对象、字段类型、必需声明和未知高风险字段，再输出三类结果：客户端可用于预检的字段、必须由服务器确认的字段，以及明确禁止从本地形成的授权结论。它不读取私钥、不联网，也不尝试绕过或伪造签名。

示例故意不接收完整 JWT，因为把 payload 解码出来很容易被误解为验证完成。生产代码应把标准 JOSE 库的密码学验证结果与声明对象分开，并固定允许算法、issuer、audience 和 token 类型。该脚本只帮助代码评审定位职责边界，任何输出都不能用于资源服务器放行。

输入派生的类型或边界问题会以非零状态失败，流水线可保存原始样例、输出和工具摘要。通过表示声明满足这份教学规则，不表示 token 签名正确、未撤销、未重放或拥有任何对象权限。真实验收还要向测试资源发送请求并核对服务器拒绝矩阵。

import json
import sys
from pathlib import Path

CLIENT_PREFLIGHT = {"iss", "aud", "exp", "client_id", "scope", "sub"}
+SERVER_REQUIRED = {"signature", "issuer_policy", "audience_policy", "revocation", "object_acl", "replay_state"}
+FORBIDDEN_LOCAL_CONCLUSIONS = {"is_admin", "owns_resource", "payment_allowed", "token_authorized"}
+
+if len(sys.argv) != 2:
+    raise SystemExit("usage: classify_token_claims.py public-claims.json")
+claims_path = Path(sys.argv[1]).resolve()
+if not claims_path.is_file():
+    raise SystemExit(f"claims file missing: {claims_path.name}")
+with claims_path.open("r", encoding="utf-8") as stream:
+    claims = json.load(stream)
+if not isinstance(claims, dict):
+    raise SystemExit("claims root must be a JSON object")
+
+required = {"iss", "aud", "exp", "client_id", "scope", "sub"}
+missing = sorted(required - set(claims))
+if missing:
+    raise SystemExit(f"missing required claims: {missing}")
+if not isinstance(claims["iss"], str) or not claims["iss"].startswith("https://"):
+    raise SystemExit("iss must be a non-empty HTTPS identifier")
+if not isinstance(claims["aud"], (str, list)):
+    raise SystemExit("aud must be a string or string array")
+if isinstance(claims["aud"], list) and not all(isinstance(item, str) for item in claims["aud"]):
+    raise SystemExit("every aud entry must be a string")
+if not isinstance(claims["exp"], int) or isinstance(claims["exp"], bool):
+    raise SystemExit("exp must be an integer timestamp")
+if not isinstance(claims["scope"], (str, list)):
+    raise SystemExit("scope must be a string or string array")
+
+dangerous = sorted(FORBIDDEN_LOCAL_CONCLUSIONS & set(claims))
+if dangerous:
+    raise SystemExit(f"claims attempt to carry local authorization conclusions: {dangerous}")
+client_view = {name: claims[name] for name in sorted(CLIENT_PREFLIGHT) if name in claims}
+report = {
+    "client_preflight_only": client_view,
+    "server_must_confirm": sorted(SERVER_REQUIRED),
+    "never_conclude_locally": sorted(FORBIDDEN_LOCAL_CONCLUSIONS),
+    "boundary": "decoded claims are not a server authorization decision",
+}
+print(json.dumps(report, ensure_ascii=False, indent=2, sort_keys=True))

发布门禁要同时验证本地状态和服务端拒绝矩阵

OWASP MASVS-RESILIENCE 将抗逆向与抗篡改作为纵深防御控制。对应 token 解析，证据包应包含候选摘要、保护规则、被保护方法签名、依赖版本、测试 claims、异常输入、缓存清理、本地按钮状态和服务端 401、403 用例。控制目录本身不能证明候选已达到具体强度。

门禁要主动篡改测试样例中的 exp、iss、aud、scope、sub 和本地角色字段，确认客户端不会因为可解码就显示持续高权限状态；同时服务器必须对错误签名、错误 audience、撤销 token、重复 proof 和越权对象分别拒绝。静态构建通过、脚本退出零或界面隐藏按钮都不能替代这些回执。

如果业务还需要离线许可，可查看[离线许可逻辑的 VMP 范围](/zh-cn/articles/offline-license-logic-vmp-scope/)，不要把 OAuth access token 当长期离线授权。需要提交候选与令牌流程，可从[御盾中央平台申请加固服务](https://www.leonadev.com/console/)。登录、注册、价格、购买和控制台统一由中央平台承接，提交时不得包含真实 token 或生产密钥。

• decode、verify、protocol validation 与 authorization 类型分离
• 客户端 scope 和角色仅控制体验，不决定资源访问
• 资源服务器独立验证 iss、aud、exp、token 类型和允许算法
• 原生授权使用外部 user-agent 与 PKCE，不依赖 APK 内 secret
• DPoP 或 Keystore 调用不复制原始私钥到保护代码
• 401、403、刷新失败与撤销响应都会清理相应本地状态
• 每个受保护资源都有服务器对象级授权拒绝用例
• 真实候选、设备、服务端版本与回执通过摘要绑定