Вы пишете функцию Azure на .NET, которая проверяет токены доступа Azure AD JWT для вашего пользовательского API. API является однотенантным и использует конечную точку v2.0. Какие проверки следует реализовать, чтобы токены принимались только в том случае, если они были выданы для вашего API вашим клиентом и не просрочены или не подделаны? Выберите три ответа.

Для обеспечения безопасности и целостности токенов JWT необходимо выполнить три основные проверки. Во-первых, утверждение aud (аудитория) в токене должно точно соответствовать URI идентификатора приложения вашего API. Это гарантирует, что токен предназначен именно для вашего API, а не для другого ресурса. Во-вторых, для проверки подписи токена следует использовать открытые ключи. Эти ключи можно получить из конечной точки jwksuri, указанной в метаданных OpenID Connect, которые доступны по URL-адресу https://login.microsoftonline.com/<tenant-id/v2.0/.well-known/openid-configuration. Это подтверждает, что токен был выдан доверенным издателем и не был подделан. Наконец, необходимо проверить срок действия токена (exp), отклоняя все токены с истекшим сроком действия, но допуская небольшое расхождение во времени для учета возможных рассинхронизаций часов. Неправильный вариант "Считайте токены, выданные для любого клиента, действительными..." неверен, так как проверка издателя (iss) является критически важной для безопасности, даже для токенов v2.0, чтобы убедиться, что токен выдан доверенным центром аутентификации.