從宣告決定存取權

你維護一個提供季報的 API。現在同時來了四個請求，每個請求都帶著一個 bearer 權杖，而且都要求相同資源：GET /reports/q3-summary，這個端點需要 reports/read 範圍（scope）。

開啟 Token claims 主控台。先到「Request log」查看你的 API 對每個請求記錄了什麼，再切換到「Decoded claims」，並把每個權杖與側邊顯示的 API 期望值對照閱讀。

這裡每個簽章都有效。已驗證並不代表就合用。

四個權杖之中，只有一個應該被允許呼叫 GET /reports。

是哪一個？