Piszesz funkcję platformy Azure w .NET, która sprawdza poprawność tokenów dostępu JWT usługi Azure AD dla Twojego niestandardowego interfejsu API. Interfejs API jest jednodostępny i używa punktu końcowego v2.0. Jakie walidacje należy zaimplementować, aby upewnić się, że tokeny są akceptowane tylko wtedy, gdy zostały wydane dla Twojego interfejsu API przez Twojego dzierżawcę i nie wygasły ani nie zostały naruszone? Wybierz trzy odpowiedzi.

Aby zapewnić bezpieczeństwo, należy wdrożyć trzy kluczowe walidacje. Po pierwsze, należy sprawdzić oświadczenie aud (audience), aby upewnić się, że token został wydany dla Twojego konkretnego interfejsu API, co zapobiega użyciu tokenów przeznaczonych dla innych aplikacji. Po drugie, należy pobrać metadane OpenID Connect z odpowiedniego punktu końcowego, aby zweryfikować podpis tokenu przy użyciu jwksuri i identyfikatora klucza (kid). To potwierdza, że token pochodzi od zaufanego wystawcy (Azure AD) i nie został naruszony. Po trzecie, należy wymusić czas życia tokenu, odrzucając tokeny po upływie ich czasu ważności (exp), co chroni przed atakami typu replay. Dopuszczalne jest niewielkie odchylenie zegara, aby uwzględnić różnice czasowe między serwerami. Opcja traktowania tokenów wydanych dla dowolnego dzierżawcy jako ważne jest nieprawidłowa, ponieważ walidacja wystawcy (iss) jest kluczowa dla bezpieczeństwa i upewnia się, że token pochodzi od Twojego dzierżawcy.