Stai scrivendo una Funzione Azure .NET che convalida i token di accesso JWT di Azure AD per la tua API personalizzata. L'API è single-tenant e utilizza l'endpoint v2.0. Quali convalide dovresti implementare per assicurarti che i token siano accettati solo se emessi per la tua API dal tuo tenant e non siano scaduti o manomessi? Seleziona tre risposte.

Per garantire che i token siano accettati solo se emessi per la tua API dal tuo tenant e non siano scaduti o manomessi, è fondamentale convalidare l'audience, la firma e la durata. La convalida del claim aud (audience) assicura che il token sia destinato alla tua API specifica, impedendo l'uso di token destinati ad altre risorse. Recuperare i metadati OpenID Connect e usare il jwksuri per convalidare la firma del token tramite l'ID della chiave (kid) verifica l'integrità del token e che non sia stato manomesso. Infine, applicare la durata del token rifiutando quelli oltre il loro exp (expiration time), con un piccolo scostamento dell'orologio, previene l'uso di token scaduti. L'opzione che suggerisce di considerare validi i token emessi per qualsiasi tenant è errata perché la convalida dell'issuer è cruciale per le API single-tenant per garantire che i token provengano dal proprio tenant.