클레임을 바탕으로 접근 권한 판단하기

분기별 보고서를 제공하는 API를 운영하고 있습니다. 네 개의 요청이 동시에 도착하며, 각각 베어러 토큰을 포함하고 있고, 모두 같은 작업인 GET /reports/q3-summary를 요청합니다. 이 요청에는 reports/read 스코프가 필요합니다.

Token claims 콘솔을 여세요. 먼저 Request log에서 API가 모든 요청에 대해 기록하는 내용을 확인한 다음, Decoded claims로 전환해 각 토큰을 API가 기대하는 내용이 표시된 패널과 비교해 보세요.

여기 있는 서명은 모두 유효합니다. 하지만 '검증됨'과 '적절함'은 다른 이야기입니다.

이 네 개의 토큰 중 단 하나만 GET /reports를 호출할 수 있어야 합니다.

어느 것일까요?