É possível substituir ou interceptar um token JWT e como isso pode ser feito?

A substituição ou interceptação de tokens JWT é possível se um atacante obtiver acesso ao token ou às chaves usadas para a sua assinatura. Os principais métodos são:

1. Interceptação do token na rede — se a conexão não estiver protegida (por exemplo, sem HTTPS), o token pode ser interceptado através de um ataque MITM.
2. Ataques XSS — se o site tiver vulnerabilidades, um atacante pode executar scripts e obter o token a partir do localStorage ou cookies.
3. Falsificação do token — se a chave secreta para assinar o JWT for conhecida ou comprometida, é possível criar um token válido com dados arbitrários.

Para proteger, usam-se HTTPS, cookies HttpOnly e Secure, Content Security Policy (CSP), além de alterar e proteger regularmente os segredos de assinatura. Em Go, ao verificar um JWT, é importante verificar a assinatura e a validade do token:

import (
  "github.com/golang-jwt/jwt"
)

func validateToken(tokenString string, secret []byte) (*jwt.Token, error) {
  return jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
    if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
      return nil, fmt.Errorf("método de assinatura inesperado")
    }
    return secret, nil
  })
}

Assim, a substituição é possível com proteção fraca, mas o uso correto de JWT e medidas de segurança minimizam os riscos.