Визначте доступ за claims

Ви підтримуєте API, що повертає квартальні звіти. Надходять чотири запити, кожен із bearer-токеном, і всі запитують одне й те саме: GET /reports/q3-summary, для якого потрібна область reports/read.

Відкрийте консоль Token claims. Почніть з Request log, щоб побачити, що саме ваш API фіксує для кожного запиту, потім перейдіть до Decoded claims і звірте кожен токен із панеллю, яка показує очікування вашого API.

Кожен підпис тут дійсний. Verified — це не те саме, що appropriate.

Лише один із цих чотирьох токенів має право викликати GET /reports.

Який саме?