Décider de l'accès à partir des revendications

Vous maintenez une API qui fournit des rapports trimestriels. Quatre requêtes arrivent en même temps, chacune avec un bearer token, et demandent toutes la même chose : GET /reports/q3-summary, qui nécessite la portée reports/read.

Ouvrez la console Token claims. Commencez par Request log pour voir ce que votre API enregistre pour chaque requête, puis passez à Decoded claims et lisez chaque token en le comparant au panneau qui montre ce qu'attend votre API.

Toutes les signatures ici sont valides. Vérifié ne veut pas dire approprié.

Un seul de ces quatre tokens doit être autorisé à appeler GET /reports.

Lequel ?