• A

  I. Validar a claim aud no resource server, garantindo que o token foi emitido para aquele serviço específico; II. Implementar verificação de autorização baseada em claims (como role ou scope) no resource server, além da validação da assinatura e expiração; III. Utilizar PKCE no fluxo de autorização para clientes públicos, vinculando o authorization code ao code verifier do cliente legítimo.

• B

  I. Aumentar o tempo de expiração do token para evitar rejeições indevidas; II. Cifrar o token JWT para que o usuário não consiga ler a claim role; III. Armazenar o refresh token em local storage no aplicativo mobile para maior segurança.

• C

  I. Revogar imediatamente o token junto ao authorization server; II. Utilizar o algoritmo HS256 com uma chave secreta compartilhada entre todos os serviços; III. Desabilitar o uso de refresh tokens para clientes públicos.

• D

  I. Implementar token introspection (RFC 7662) no resource server para validar o token; II. Adicionar a claim role dentro do access token e confiar apenas na assinatura do JWT; III. Utilizar o fluxo Implicit Grant para aplicações mobile, pois é mais seguro que o Authorization Code.

• E

  I. Validar a claim iss no resource server; II. Utilizar scopes em vez de roles para autorização; III. Exigir que o cliente público utilize um client secret para obter tokens.

Atalhos: A–E marca · Shift+letra corta · Enter próxima

Selecione uma alternativa pra criar sua conta e salvar o progresso.