Projektowanie API · Senior · Pytanie 32 z 75
Dlaczego tokeny dostępu JWT dla API trzeba weryfikować rygorystycznie?
- 1Liczy się tylko czas ważności
- ✓Poprawna odpowiedź: Sprawdzać podpis z oczekiwanym algorytmem, wystawcę, odbiorcę (audience) i ważność; inaczej mogą zostać przyjęte tokeny dla innego serwisu lub sfałszowane
- 3Wystarczy zdekodować payload
Wyjaśnienie
Sprawdzanie audience zapobiega ponownemu użyciu tokenu wydanego dla serwisu A przeciwko serwisowi B.