JSON-Web-Token

Outcome: Complete the task with JSON-Web-Token (JSON Web Token). User context: Eine API erhält ein signiertes Zugriffs-JWT und erlaubt nur benannte Algorithmen. Sie findet einen vertrauenswürdigen Herausgeberschlüssel. Dann überprüft sie `iss`, `aud`, `exp`, `nbf`, `scope` und den Token-Typ. Sie lehnt `alg:none` und Tokens ab, die für einen anderen Dienst erstellt wurden. Persönliche Daten werden ausgelassen, da ein normales signiertes JWT lesbar, nicht verschlüsselt ist. Technical concept or control: JSON-Web-Token (JSON Web Token). Why it fits: Verwenden Sie JWT, wenn Systeme ein kleines, eigenständiges Set geschützter Ansprüche benötigen. Sie müssen seinen Inhalt und das Ablaufdatum strikt prüfen. Do not use it when: Setzen Sie keine Geheimnisse in ein signiertes JWT oder akzeptieren Sie keinen beliebigen Algorithmus oder Schlüssel. Vermeiden Sie langzeitig gültige Tokens ohne Widerruf, und verwenden Sie eine einfachere undurchsichtige Sitzung, wenn es passt. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Der Standard deckt nur den aufgeführten Umfang ab. Er wählt nicht den visuellen Stil, die Produktentscheidung oder das Vibulary-Beispiel aus. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.