Déterminer l'accès à partir des revendications

Vous gérez une API qui fournit des rapports trimestriels. Quatre requêtes arrivent en même temps, chacune avec un jeton d'authentification (bearer) et demandant la même chose : GET /reports/q3-summary, qui exige la portée reports/read.

Ouvrez la console Token claims. Commencez par Request log pour voir ce que votre API enregistre pour chaque requête, puis passez à Decoded claims et lisez chaque jeton à la lumière du panneau qui montre ce que votre API attend.

Chaque signature ici est valide. Vérifié ne veut pas dire approprié.

Un seul de ces quatre jetons devrait être autorisé à appeler GET /reports.

Lequel ?