Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

產生 JWT 政策

您目前查看的是 Apigee Edge 說明文件。
前往 Apigee X 說明文件。 info

結果

產生已簽署的 JWT，並提供可設定的聲明集。然後將 JWT 傳回給用戶端、傳輸至後端目標，或以其他方式使用。如需詳細簡介，請參閱 JWS 和 JWT 政策總覽。

影片

請觀看這部短片，瞭解如何產生已簽署的 JWT。

範例

產生以 HS256 演算法簽署的 JWT
產生以 RS256 演算法簽署的 JWT

產生以 HS256 演算法簽署的 JWT

這個範例政策會產生新的 JWT，並使用 HS256 演算法簽署。HS256 簽署和驗證簽章時，都必須使用共用密鑰。

觸發這項政策動作時，Edge 會編碼 JWT 標頭和酬載，然後以數位方式簽署 JWT。如需完整範例，包括如何向政策提出要求，請參閱上方影片。

這裡的政策設定會建立一組 JWT，其中包含 JWT 規格定義的一組標準附加資訊，包括 1 小時的效期，以及額外的附加資訊。你可以視需要加入多項額外聲明。如要進一步瞭解本範例政策中各項元素的需求和選項，請參閱元素參考資料。

<GenerateJWT name="JWT-Generate-HS256">
    <DisplayName>JWT Generate HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
        <Id>1918290</Id>
    </SecretKey>
    <ExpiresIn>1h</ExpiresIn>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

產生的 JWT 會包含這個標頭…

{
  "typ" : "JWT", 
  "alg" : "HS256",
  "kid" : "1918290"
}

…，且酬載內容如下：

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "show",
  "iat" : 1506553019,
  "exp" : 1506556619,
  "jti" : "BD1FF263-3D25-4593-A685-5EC1326E1F37",
  "show": "And now for something completely different."
}

iat、exp 和 jti 聲明的值會有所不同。

產生以 RS256 演算法簽署的 JWT

注意： 使用這個範例為 PS256 或 ES256 演算法產生 JWT。只要將 <Algorithm>RS256</Algorithm> 的值變更為 PS256 或 ES256 即可。如果是 ES256，您也必須指定與演算法相容的金鑰。如要進一步瞭解金鑰規定，請參閱「關於簽章加密演算法」一文。

這項範例政策會產生新的 JWT，並使用 RS256 演算法簽署。產生 RS256 簽章時，需要使用 RSA 私密金鑰，且必須以 PEM 編碼格式提供。如需完整範例，包括如何向政策提出要求，請參閱上方影片。

觸發這項政策動作時，Edge 會編碼並以數位方式簽署 JWT，包括宣告。如要瞭解 JWT 的各個部分，以及加密和簽署方式，請參閱 RFC7519。

<GenerateJWT name="JWT-Generate-RS256">
    <Algorithm>RS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PrivateKey>
        <Value ref="private.privatekey"/>
        <Password ref="private.privatekey-password"/>
        <Id ref="private.privatekey-id"/>
    </PrivateKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <ExpiresIn>60m</ExpiresIn>
    <Id/>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
    <OutputVariable>jwt-variable</OutputVariable>
</GenerateJWT>

設定主要元素

用來指定產生 JWT 金鑰的元素取決於所選演算法，如下表所示：

演算法重要元素

演算法	重要元素
HS{256/384/512}^*	<SecretKey> <Value ref="private.secretkey"/> <Id>1918290</Id> </SecretKey>
RS/PS/ES{256/384/512}^*	<PrivateKey> <Value ref="private.privatekey"/> <Password ref="private.privatekey-password"/> <Id ref="private.privatekey-id"/> </PrivateKey> `<Password>` 和 `<Id>` 元素為選用項目。
^*如要進一步瞭解金鑰規定，請參閱「簽章加密演算法簡介」。

HS{256/384/512}^*

<SecretKey>
  <Value ref="private.secretkey"/>
  <Id>1918290</Id>
</SecretKey>

RS/PS/ES{256/384/512}^*

<PrivateKey>
  <Value ref="private.privatekey"/>
  <Password ref="private.privatekey-password"/>
  <Id ref="private.privatekey-id"/>
</PrivateKey>

<Password> 和 <Id> 元素為選用項目。

^*如要進一步瞭解金鑰規定，請參閱「簽章加密演算法簡介」。

產生 JWT 的元素參考資料

政策參考資料說明 Generate JWT 政策的元素和屬性。

注意：設定會因使用的加密演算法而略有不同。如需特定用途的設定範例，請參閱「範例」。

適用於頂層元素的屬性

<GenerateJWT name="JWT" continueOnError="false" enabled="true" async="false">

所有政策父項元素都有下列屬性。

屬性	說明	預設	外觀狀態
名稱	政策的內部名稱。名稱只能使用以下字元： `A-Z0-9._\-$ %`。不過，Edge 管理 UI 會強制執行其他限制，例如自動移除非英數字元的字元。視需要使用 `<displayname></displayname>` 元素，在管理 UI 代理伺服器編輯器中，以其他自然語言名稱標記政策。	N/A	必填
continueOnError	設為 `false`，在政策失敗時傳回錯誤。這是大多數政策的預期行為。設為 `true`，即使政策失敗，流程執行作業仍會繼續。	false	選用
已啟用	設為 `true` 即可強制執行政策。設為 `false` 即可「關閉」這項政策。即使政策仍附加至流程，系統也不會強制執行。	true	選用
非同步	這項屬性已淘汰。	false	已淘汰

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

除了名稱屬性外，您還可以使用這個屬性，在管理 UI 代理項目編輯器中，以其他自然語言名稱標示政策。

預設	如果省略這個元素，系統會使用政策名稱屬性的值。
外觀狀態	選用
類型	字串

<Algorithm>

<Algorithm>algorithm-here</Algorithm>

指定用來簽署權杖的加密演算法。

預設	N/A
外觀狀態	必填
類型	字串
有效值	HS256、HS384、HS512、RS256、RS384、RS512、ES256、ES384、ES512、PS256、PS384、PS512

<Audience>

<Audience>audience-here</Audience>

or:

<Audience ref='variable_containing_audience'/>

這項政策會產生 JWT，其中包含設為指定值的 aud 憑證附加資訊。這項聲明會識別 JWT 的目標收件者。這是 RFC7519 中提及的已註冊聲明之一。

預設	N/A
外觀狀態	選用
類型	陣列 (以半形逗號分隔的值清單)
有效值	任何可識別目標對象的項目。

<AdditionalClaims/Claim>

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
</AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

您可以在 JWT 的酬載中指定其他憑證附加資訊名稱/值組。您可以將聲明明確指定為字串、數字、布林值、對應或陣列。對應只是一組名稱/值組合。

當 type=map 時，<Claim> 元素支援稱為訊息範本的動態字串替代功能。

預設	N/A
外觀狀態	選用
有效值	您要用於額外聲明的任何值。您可以將聲明明確指定為字串、數字、布林值、對應或陣列。

<Claim> 元素會採用下列屬性：

name - (必要) 聲明名稱。
注意：請勿在這個元素中使用任何已註冊的聲明名稱。註冊的聲明定義於 RFC7519。包括：「iss」、「sub」、「aud」、「iat」、「exp」、「nbf」和「jti」。
ref - (選用) 流程變數的名稱。如果存在，政策會使用這個變數的值做為聲明。如果同時指定 ref 屬性和明確的聲明值，則預設會使用明確值，且如果參照的流程變數未解析，也會使用明確值。
警告：如果 ref 與 type=map 搭配使用，且變數含有不受信任的輸入內容 (例如來自要求標頭或查詢參數)，攻擊者可能會注入範本運算式。舉例來說，攻擊者可利用 {private.secret} 從訊息內容中擷取機密資料。防範這項風險。詳情請參閱「使用 JWS 和 JWT 時防止範本注入」。
type - (選用) 其中一個：字串 (預設)、數字、布林值或對應
array - (選用) 設為 true，表示值是否為型別陣列。預設值： false。

加入 <Claim> 元素後，您可以在設定政策時靜態設定聲明名稱。或者，您也可以傳遞 JSON 物件來指定聲明名稱。由於 JSON 物件是以變數形式傳遞，因此產生的 JWT 中的聲明名稱是在執行階段決定。

例如：

<AdditionalClaims ref='json_claims'/>

其中，變數 json_claims 包含以下形式的 JSON 物件：

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

產生的 JWT 會包含 JSON 物件中的所有聲明。

請注意，在 Claim 元素中同時使用變數參照和明確聲明值時，會出現下列行為：

在下列情況下，Edge 不會產生著作權聲明：

如果存在變數參照，但未解析，且
如未指定明確值 (預設值)，且
如果 IgnoreUnresolvedVariables 政策屬性為 true。

如果 IgnoreUnresolvedVariables 為 false，則 Edge 會在上述條件下擲回錯誤。

在下列情況下，Edge 會產生聲明：

如果存在變數參照，但未解析，且
如果您指定明確的值 (預設值)，且
如果 IgnoreUnresolvedVariables 是 true 或 false

<AdditionalHeaders/Claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

將額外的憑證附加資訊名稱/值配對放入 JWT 的標頭。

當 type=map 時，<Claim> 元素支援稱為訊息範本的動態字串替代功能。

預設	N/A
外觀狀態	選用
有效值	您要用於額外聲明的任何值。您可以將聲明明確指定為字串、數字、布林值、對應或陣列。

<Claim> 元素會採用下列屬性：

name - (必要) 聲明名稱。
注意：請勿在這個元素中使用任何已註冊的聲明名稱。註冊的聲明定義於 RFC7519。包括：「iss」、「sub」、「aud」、「iat」、「exp」、「nbf」和「jti」。
ref - (選用) 流程變數的名稱。如果存在，政策會使用這個變數的值做為聲明。如果同時指定 ref 屬性和明確的聲明值，則預設會使用明確值，且如果參照的流程變數未解析，也會使用明確值。
警告：如果 ref 與 type=map 搭配使用，且變數含有不受信任的輸入內容 (例如來自要求標頭或查詢參數)，攻擊者可能會注入範本運算式。舉例來說，攻擊者可利用 {private.secret} 從訊息內容中擷取機密資料。防範這項風險。詳情請參閱「使用 JWS 和 JWT 時防止範本注入」。
type - (選用) 其中一個：字串 (預設)、數字、布林值或對應
array - (選用) 設為 true，表示值是否為型別陣列。預設值： false。

<CriticalHeaders>

<CriticalHeaders>a,b,c</CriticalHeaders>

or:

<CriticalHeaders ref=’variable_containing_headers’/>

將重要標頭 crit 新增至 JWT 標頭。crit 標頭是標頭名稱陣列，JWT 接收者必須知道並辨識這些名稱。例如：

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

在執行階段，VerifyJWT 政策會檢查 crit 標頭。針對 crit 標頭中列出的每個項目，系統會檢查 VerifyJWT 政策的 <KnownHeaders> 元素是否也列出該標頭。如果 VerifyJWT 政策在 crit 中找到的任何標頭未列於 <KnownHeaders> 中，VerifyJWT 政策就會失敗。

注意： <CriticalHeaders> 實際上不會將標頭新增至 JWT。它只會定義 crit 標頭的內容。您可以使用 <AdditionalHeader/Claims> 新增標頭。

預設	N/A
外觀狀態	選用
類型	以半形逗號分隔的字串陣列
有效值	陣列或含有陣列的變數名稱。

<CustomClaims>

注意：目前透過 UI 新增 GenerateJWT 政策時，系統會插入 CustomClaims 元素。這個元素無法運作，因此遭到忽略。請改用 <AdditionalClaims> 元素。使用者介面會在稍後更新，插入正確的元素。

<ExpiresIn>

<ExpiresIn>time-value-here</ExpiresIn>

以毫秒、秒、分鐘、小時或天為單位，指定 JWT 的生命週期。

預設	`N/A`
外觀狀態	選用
類型	整數
有效值	值或含有值的流程變數參照。時間單位可以指定如下： ms = 毫秒 (預設) s = 秒 m = 分鐘 h = 小時 d = 天數舉例來說，`ExpiresIn`=10d 相當於 `ExpiresIn` 為 864000s。

<Id>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

產生具有特定 jti 聲明的 JWT。如果文字值和 ref 屬性都空白，政策會產生包含隨機 UUID 的 jti。JWT ID (jti) 聲明是 JWT 的專屬 ID。如要進一步瞭解 jti，請參閱 RFC7519。

預設	N/A
外觀狀態	選用
類型	字串或參照。
有效值	字串或含有 ID 的流程變數名稱。

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

如果希望政策在無法解析政策中指定的任何參照變數時擲回錯誤，請設為 false。設為 true 可將任何無法解析的變數視為空字串 (空值)。

預設	否
外觀狀態	選用
類型	布林值
有效值	true 或 false

<Issuer>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

這項政策會產生 JWT，其中包含名稱為 iss 的聲明，且值會設為指定值。用於識別 JWT 核發者的憑證附加資訊。這是 RFC7519 中提及的已註冊聲明集之一。

預設	N/A
外觀狀態	選用
類型	字串或參照
有效值	不限

<NotBefore>

<!-- Specify an absolute time. -->
<NotBefore>2017-08-14T11:00:21-07:00</NotBefore>
 -or-
<!-- Specify a time relative to when the token is generated. -->
<NotBefore>6h</NotBefore>

指定權杖生效的時間。權杖在指定時間前無效。您可以指定絕對時間值，也可以指定相對於權杖產生時間的時間。

預設	N/A
外觀狀態	選用
類型	字串
有效值	如下所示。

NotBefore 元素適用的絕對時間值

名稱	格式	範例
可排序	`yyyy-MM-dd'T'HH:mm:ss.SSSZ`	2017-08-14T11:00:21.269-0700
RFC 1123	`EEE, dd MMM yyyy HH:mm:ss zzz`	2017 年 8 月 14 日星期一 11:00:21 PDT
RFC 850	`EEEE, dd-MMM-yy HH:mm:ss zzz`	週一，2017 年 8 月 14 日 11:00:21 (太平洋夏令時間)
ANCI-C	`EEE MMM d HH:mm:ss yyyy`	Mon Aug 14 11:00:21 2017

如為相對時間值，請指定整數和時間範圍，例如：

10 秒
60 公尺
12 小時

<OutputVariable>

<OutputVariable>jwt-variable</OutputVariable>

指定要放置這項政策產生的 JWT。預設會放入流程變數 jwt.POLICYNAME.generated_jwt。

預設	`jwt.POLICYNAME.generated_jwt`
外觀狀態	選用
類型	字串 (流程變數名稱)

<PrivateKey/Id>

<PrivateKey>
  <Id ref="flow-variable-name-here"/>
</PrivateKey>

or

<PrivateKey>
  <Id>your-id-value-here</Id>
</PrivateKey>

指定要納入 JWT 標頭的金鑰 ID (kid)。僅在演算法為 RS256/RS384/RS512、PS256/PS384/PS512 或 ES256/ES384/ES512 時使用。

預設	N/A
外觀狀態	選用
類型	字串
有效值	流程變數或字串

<PrivateKey/Password>

<PrivateKey>
  <Password ref="private.privatekey-password"/>
</PrivateKey>

視需要指定政策應使用的密碼，以解密私密金鑰。使用 ref 屬性在流程變數中傳遞金鑰。僅在演算法為 RS256/RS384/RS512、PS256/PS384/PS512 或 ES256/ES384/ES512 時使用。

預設	N/A
外觀狀態	選用
類型	字串
有效值	流程變數參照。注意：您必須指定流程變數。如果政策設定以純文字指定密碼，Edge 會視為無效並拒絕。流程變數必須以「private」為前置字元。例如：`private.mypassword`

<PrivateKey/Value>

<PrivateKey>
  <Value ref="private.variable-name-here"/>
</PrivateKey>

指定用來簽署 JWT 的 PEM 編碼私密金鑰。使用 ref 屬性在流程變數中傳遞鍵。僅在演算法為 RS256/RS384/RS512、PS256/PS384/PS512 或 ES256/ES384/ES512 時使用。

預設	N/A
外觀狀態	使用 RS256 演算法產生 JWT 時需要。
類型	字串
有效值	包含字串的流程變數，代表 PEM 編碼的 RSA 私密金鑰值。注意：流程變數必須有「private」前置字元。例如： `private.mykey`

<SecretKey/Id>

<SecretKey>
  <Id ref="flow-variable-name-here"/>
</SecretKey>

or

<SecretKey>
  <Id>your-id-value-here</Id>
</SecretKey>

指定要納入以 HMAC 演算法簽署的 JWT 標頭中的金鑰 ID (kid)。只有在演算法為 HS256/HS384/HS512 時才使用。

預設	N/A
外觀狀態	選用
類型	字串
有效值	流程變數或字串

<SecretKey/Value>

<SecretKey>
  <Value ref="private.your-variable-name"/>
</SecretKey>

提供用於以 HMAC 演算法驗證或簽署權杖的私密金鑰。只有在演算法為 HS256/HS384/HS512 時才使用。使用 ref 屬性在流程變數中傳遞金鑰。

Edge 會對 HS256/HS384/HS512 演算法強制執行最低金鑰強度。HS256 的金鑰長度下限為 32 個位元組，HS384 為 48 個位元組，HS512 則為 64 個位元組。使用強度較低的鍵會導致執行階段錯誤。

預設	N/A
外觀狀態	HMAC 演算法需要這項資訊。
類型	字串
有效值	參照字串的流程變數注意：如果是流程變數，則必須加上「private」前置字元。例如：`private.mysecret`

<Subject>

<Subject>subject-string-here</Subject>

或

<Subject ref="flow_variable" />

例如：

<Subject ref="apigee.developer.email"/>

這項政策會產生含有 sub 憑證附加資訊的 JWT，並設為指定值。這項憑證附加資訊會識別 JWT 的主體或做出相關陳述。這是 RFC7519 中提及的標準組合之一。

預設	N/A
外觀狀態	選用
類型	字串
有效值	可明確識別主體或參照值的流程變數。

流程變數

產生 JWT 政策不會設定流程變數。

錯誤參考資料

本節說明當這項政策觸發錯誤時，傳回的錯誤代碼和錯誤訊息，以及 Edge 設定的錯誤變數。如果您正在開發錯誤規則來處理錯誤，請務必瞭解這項資訊。詳情請參閱「政策錯誤須知」和「處理錯誤」。

執行階段錯誤

執行政策時，可能會發生這些錯誤。

錯誤代碼	HTTP 狀態	發生時機
`steps.jwt.AlgorithmInTokenNotPresentInConfiguration`	401	驗證政策採用多個演算法時發生。
`steps.jwt.AlgorithmMismatch`	401	產生政策中指定的演算法與驗證政策中預期的演算法不符。指定的演算法必須相符。
`steps.jwt.FailedToDecode`	401	政策無法解碼 JWT。JWT 可能損毀。
`steps.jwt.GenerationFailed`	401	政策無法產生 JWT。
`steps.jwt.InsufficientKeyLength`	401	如果金鑰在 HS256 演算法中的資料量小於 32 個位元組，HS386 演算法需少於 48 個位元組，HS512 演算法則小於 64 個位元組。
`steps.jwt.InvalidClaim`	401	可能是因為缺少版權聲明或版權聲明不符，或是缺少標題或標頭不符的情形。
`steps.jwt.InvalidCurve`	401	索引鍵指定的曲線不適用於橢圓曲線演算法。
`steps.jwt.InvalidJsonFormat`	401	標頭或酬載含有無效的 JSON。
`steps.jwt.InvalidToken`	401	如果 JWT 簽名驗證失敗，就會發生這個錯誤。
`steps.jwt.JwtAudienceMismatch`	401	權杖驗證失敗，目標對象聲明失敗。
`steps.jwt.JwtIssuerMismatch`	401	核發機構憑證驗證失敗。
`steps.jwt.JwtSubjectMismatch`	401	驗證權杖的主體擁有權聲明失敗。
`steps.jwt.KeyIdMissing`	401	驗證政策會使用 JWKS 做為公開金鑰來源，但已簽署的 JWT 不會在標頭中加入 `kid` 屬性。
`steps.jwt.KeyParsingFailed`	401	無法從指定的金鑰資訊剖析公開金鑰。
`steps.jwt.NoAlgorithmFoundInHeader`	401	發生於 JWT 未包含演算法標頭時。
`steps.jwt.NoMatchingPublicKey`	401	驗證政策會使用 JWKS 做為公開金鑰來源，但已簽署 JWT 中的 `kid` 並未列在 JWKS 中。
`steps.jwt.SigningFailed`	401	在 GenerateJWT 中，金鑰大小必須小於 HS384 或 HS512 演算法的下限
`steps.jwt.TokenExpired`	401	政策會嘗試驗證過期的權杖。
`steps.jwt.TokenNotYetValid`	401	憑證尚未生效。
`steps.jwt.UnhandledCriticalHeader`	401	在 `crit` 標頭中驗證 JWT 政策找到的標頭不在 `KnownHeaders` 中。
`steps.jwt.UnknownException`	401	發生不明例外狀況。
`steps.jwt.WrongKeyType`	401	指定的金鑰類型有誤。舉例來說，如果您為橢圓曲線演算法指定 RSA 金鑰，或是為 RSA 演算法指定曲線鍵，

部署錯誤

若您部署包含這項政策的 Proxy，就可能會發生這些錯誤。

錯誤名稱	原因	修正
`InvalidNameForAdditionalClaim`	如果 `<AdditionalClaims>` 元素的子元素 `<Claim>` 中使用的憑證聲明是下列任一註冊名稱，部署作業就會失敗：`kid`、`iss`、`sub`、`aud`、`iat`、`exp`、`nbf` 或 `jti`。
`InvalidTypeForAdditionalClaim`	如果 `<AdditionalClaims>` 元素子項元素 `<Claim>` 中使用的憑證聲明不是 `string`、`number`、`boolean` 或 `map` 類型，部署作業就會失敗。
`MissingNameForAdditionalClaim`	如未在 `<AdditionalClaims>` 元素的子元素 `<Claim>` 中指定憑證附加資訊，部署作業就會失敗。
`InvalidNameForAdditionalHeader`	當 `<AdditionalClaims>` 元素的子元素 `<Claim>` 使用的聲明名稱是 `alg` 或 `typ` 時，就會發生這個錯誤。
`InvalidTypeForAdditionalHeader`	如果 `<AdditionalClaims>` 元素子項元素 `<Claim>` 中使用的聲明類型不是 `string`、`number`、`boolean` 或 `map`，部署就會失敗。
`InvalidValueOfArrayAttribute`	如果 `<AdditionalClaims>` 元素中子元素 `<Claim>` 的陣列屬性值未設為 `true` 或 `false`，就會發生這個錯誤。
`InvalidConfigurationForActionAndAlgorithm`	如果將 `<PrivateKey>` 元素與 HS 系列演算法搭配使用，或是將 `<SecretKey>` 元素與 RSA Family 演算法搭配使用，部署作業就會失敗。
`InvalidValueForElement`	如果 `<Algorithm>` 元素中指定的值不是支援的值，部署作業就會失敗。
`MissingConfigurationElement`	如果 `<PrivateKey>` 元素未與 RSA 系列演算法搭配使用，或是 `<SecretKey>` 元素並未與 HS 系列演算法搭配使用，就會發生這個錯誤。
`InvalidKeyConfiguration`	如果未在 `<PrivateKey>` 或 `<SecretKey>` 元素中定義子項元素 `<Value>`，部署就會失敗。
`EmptyElementForKeyConfiguration`	如果 `<PrivateKey>` 或 `<SecretKey>` 元素子項元素 `<Value>` 的 ref 屬性為空白或未指定，則部署作業將會失敗。
`InvalidVariableNameForSecret`	如果在 `<PrivateKey>` 或 `<SecretKey>` 元素的子項元素 `<Value>` 的 ref 屬性中指定的流程變數名稱不含私人前置字串 `(private.)`，就會發生這個錯誤。
`InvalidSecretInConfig`	如果 `<PrivateKey>` 或 `<SecretKey>` 元素的子元素 `<Value>` 不含私人前置字串 `(private.)`，就會發生這個錯誤。
`InvalidTimeFormat`	如果 `<NotBefore>` 元素中指定的值未使用支援的格式，部署就會失敗。

錯誤變數

系統會在發生執行階段錯誤時設定這些變數。詳情請參閱重要須知政策錯誤。

變數	地點	範例
`fault.name="fault_name"`	`fault_name` 是錯誤的名稱，如上方「執行階段錯誤」表格所列。錯誤名稱是錯誤程式碼的最後部分。	`fault.name Matches "TokenExpired"`
`JWT.failed`	如果失敗時，所有 JWT 政策都會設定相同的變數。	`JWT.failed = true`

錯誤回應範例

JWT 政策錯誤代碼

針對錯誤處理，最佳做法是將錯誤的 errorcode 部分加以包裝回應。請勿參考 faultstring 中的文字，因為可能會變動。

錯誤規則範例

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>