JWT đo thật: HS256 ký 394.000 mỗi giây nhưng RS256 chỉ 1.321, verify mới là nút thắt với 30.000 so với 313.000 mỗi giây, token RS256 nặng gấp đôi, golang-jwt v5 từ chối cả alg=none lẫn nhầm loại khoá khi ghim thuật toán
Đo bốn thuật toán ký JWT trong golang-jwt v5 với cùng bảy claim trên một máy 10 vCPU. HS256 ký 394.557 và verify 312.743 mỗi giây, token 255 byte; RS256 ký chỉ 1.321 và verify 30.334, token 554 byte; RSA-4096 ký 217 mỗi giây; ES256 và EdDSA token 298 byte. Verify 10 lõi: HS256 607.868, RS256 113.651. Hai cấu hình sai kinh điển, alg=none và token HS256 ký bằng khoá công khai, đều bị v5 từ chối khi server ghim thuật toán bằng WithValidMethods, chỉ lọt khi code chọn khoá theo t.Method. Thu hồi bằng deny-list theo jti với TTL bằng tuổi token.