JWT Algorithm Confusion Attack

Attacker đổi header alg của JWT từ RS256 sang HS256 hoặc none, lừa server dùng public key làm khóa HMAC hoặc bỏ qua xác minh chữ ký.