Sicherheit von Webanwendungen · Middle · Frage 41 von 75
Was muss ein Server prüfen, wenn er ein JWT bekommt?
- 1Nur, dass der Claim
subzur Nutzer-ID in der URL passt - 2Die Signatur mit dem erwarteten Schlüssel plus
exp,issundaud - 3Nur, dass sich das Token ohne Fehler dekodieren lässt
Antwort zeigen
Richtige Antwort: Die Signatur mit dem erwarteten Schlüssel plus exp, iss und aud
Erklärung
Eine davon auszulassen öffnet Angriffe: abgelaufene Tokens funktionieren weiter, Tokens für einen anderen Dienst werden akzeptiert oder Signaturen gefälscht.