FIFA

Главный тезис gist: JWT создавались под токены на ~5 минут, а не под логины, и «они не предназначены для этого, они небезопасны». Используйте сессионные куки или PASETO для подписанных токенов.

Повторяющаяся оговорка из обсуждения: это верно для браузерных сессий — и почти только для них.

Разворот: один комментатор предложил сломать AssumeRoleWithWebIdentity в AWS STS, если JWT и правда так небезопасны. Желающих не нашлось.

Дыра учебная: роли проверялись только на клиенте. Сервер не валидировал JWT и отдавал инфраструктуру прямого эфира любому, кто зарегистрировался на публичной Agent Platform ФИФА. Запушь поток на RTMP-эндпоинт — и подменишь картинку в телеэфире по всему миру.

Поворот: ФИФА не ответила. Ни подтверждения, ни благодарности, ни выплаты — просто молча закрыли дыру. Половина обсуждения спрашивала, зачем он вообще об этом сообщил.