คงชนิดข้อมูลและโครงสร้าง
การจัดรูปแบบและย่อขนาดเปลี่ยนเฉพาะอักขระช่องว่างนอกสตริง โดยไม่เปลี่ยนรูปแบบตัวเลข สตริงที่ใช้อักขระหลีก ลำดับคีย์ หรือคีย์ซ้ำ ตรวจเพียงไวยากรณ์ JSON ไม่ใช่สคีมา API เครื่องมือ JSON และตัวอ่านผลลัพธ์อื่นมีขีดจำกัดตัวเลขแยกกัน การเปรียบเทียบโครงสร้างตรวจค่าและตำแหน่งอาร์เรย์ ส่วนชนิด TypeScript ที่อนุมานจากตัวอย่างเดียวต้องตรวจทานต่อ
เลือกระดับการเข้ารหัสให้ถูกต้อง
องค์ประกอบ URL สตริงคำค้น สตริง JSON และข้อความ HTML ใช้กฎอักขระหลีกต่างกัน เช่น + แทนช่องว่างเมื่ออ่านพารามิเตอร์แบบฟอร์ม แต่ยังเป็น + เมื่อถอดรหัสองค์ประกอบ URI ถอด Base64 เป็นข้อความเฉพาะเมื่อเป็นข้อความ UTF-8 ส่วนข้อมูลไบนารีต้องใช้ตัวแปลงเป็นไฟล์
แยกการถอดรหัสข้อมูลออกจากการยืนยันตัวตน
JWT ที่อ่านข้อมูลแล้วเป็นข้อมูลที่ยังไม่ยืนยัน ไม่ใช่หลักฐานสิทธิ์ ค่าแฮชไฟล์ต้องมีค่าอ้างอิงจากแหล่งที่เชื่อถือได้ ส่วน HMAC ยังขึ้นกับความลับร่วมและการเข้ารหัสไบต์ที่ตรงกัน ใช้คีย์จำลองในตัวอย่าง และอย่าให้โทเค็นระบบจริงปรากฏในภาพหน้าจอที่แชร์