您在此处：
API（启用 OAuth 设置）：为命名用户颁发基于 JSON Web 令牌 (JWT) 的访问令牌
此安全设置会将 Salesforce 授权服务器从发布不透明的基于引用的访问令牌转换为发布自包含的加密签名 JSON Web 令牌。
控件名称
连接的应用程序：API（启用 OAuth 设置）：为命名用户颁发基于 JSON Web 令牌 (JWT) 的访问令牌
推荐配置
为命名用户颁发基于 JSON Web 令牌 (JWT) 的访问令牌。
控制概览
此安全设置会将 Salesforce 授权服务器从发布不透明的基于引用的访问令牌转换为发布包含用户身份和权限声明的独立加密签名的 JSON Web 令牌。
安全风险（如果未配置）
连接的应用程序会话缺少正确强制执行的 JWT 访问令牌会导致漏洞，原有令牌格式更容易被伪造，并且更容易通过拦截的会话标识符进行未经授权的内部资源访问。
威胁场景
攻击者拦截未加密的会话标识符，并尝试针对 API 层重放它，因为系统不需要可以根据特定公钥和到期时间戳进行验证的结构化签名令牌。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
无法使用签名的 JWT 会阻止外部应用程序本地验证令牌的真实性和完整性，从而增加每个验证请求对授权服务器的依赖，并潜在地延迟对已泄露会话的检测。
高风险
当集成使用长期刷新令牌时，或者当组织元数据通过令牌负载暴露而没有足够的加密保护时。
低风险
如果组织要求缩短令牌生命周期，并为每个不同的外部客户端应用程序使用唯一的数字证书，以确保签名密钥的隔离。
业务和集成注意事项
实施基于 JWT 的令牌需要消耗应用程序拥有能够解析标题、有效载荷和签名的 JWT 库，以便在处理数据之前验证声明集。
建议的补救措施
转到连接的应用程序的 OAuth 策略，并选择为命名用户颁发基于 JSON Web 令牌 (JWT) 的访问令牌的选项。
安全健康审查指导
安全健康审查将使用基于 JWT 的访问令牌确定为强烈建议的标准，以确保所有会话声明都经过签名和验证，从而防止令牌伪造和未经授权的资源访问。
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
