Jetzt prüft jemand, der dir nicht gehört
Dieselbe Seite, derselbe Knopf — aber die Notizen liegen nicht mehr in deinem
Browser, sondern hinter /api. Und dort wird das Token geprüft:
Signatur, Aussteller, Empfänger, Laufzeit, Rolle.
Nicht angemeldet.
Notizen
Angemeldet als —, Rollen laut Token: —
- noch nichts geladen
Was das Backend geantwortet hat
—
Derselbe Trick wie in Stufe 2:
Der Knopf tut genau dasselbe wie vorher — er schreibt die Rolle in dein Token. Die Seite glaubt dir auch jetzt wieder aufs Wort: der Speichern-Knopf wird frei. Nur diesmal entscheidet das nichts mehr.
Drücke danach Speichern und sieh dir die Antwort an.
Warum das jetzt scheitert
Beim Schummeln wurde die Nutzlast verändert, die Signatur blieb die alte. Das Backend rechnet die Signatur über den tatsächlichen Inhalt nach und bekommt etwas anderes heraus, als in der Signatur steht. Es lehnt ab, bevor es überhaupt auf die Rolle schaut.
Ein passendes Token selbst auszustellen ginge nur mit dem privaten Schlüssel von LIAM — und der liegt dort, nicht hier.
| Prüfung | Fängt ab | Meldung im Log |
|---|---|---|
| Verfahren | Token ohne Signatur (alg: none) |
Verfahren none nicht erlaubt |
| Signatur | hier veränderte Rolle; Token aus fremdem Realm | Signatur falsch / unbekannter Schluessel |
Aussteller iss | Token von einem anderen Keycloak | fremder Aussteller |
Empfänger azp/aud |
Token aus demselben Realm, aber für ein anderes Programm ausgestellt | nicht fuer uns ausgestellt |
Laufzeit exp | abgelaufenes Token | abgelaufen |
| Rolle | angemeldet, aber nicht berechtigt — erst ganz am Schluss | HTTP 403, Rolle schreiber fehlt |
Die vierte Zeile ist die unauffälligste und die wichtigste: Ein Token aus deinem eigenen Realm, richtig signiert, mit den richtigen Rollen — nur für eine andere Anwendung ausgestellt. Ohne diese Prüfung könnte jedes Programm im selben Realm die Tokens jedes anderen verwenden.
Fällt eine dieser Prüfungen weg, ist die ganze Kette wertlos. Besonders die ersten beiden: ohne Signaturprüfung kann jeder ein Token bauen, ohne Ausstellerprüfung genügt eines aus irgendeinem anderen Realm.