利用 React2Shell 获取的 NEXTAUTH_SECRET 伪造 Next.js 认证 Cookie 的工具与检测思路

作者发布了一个 next-auth/Auth.js 会话 Cookie 的编码/解码工具，并说明攻击者只需获得 NEXTAUTH_SECRET（新版为 AUTH_SECRET），结合 HKDF 派生密钥和默认 salt（即 Cookie 名）即可伪造任意用户身份的有效会话 Cookie。