Chính sách Xác minh JWT

Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến tài liệu về Apigee X. thông tin

Nội dung

Xác minh chữ ký trên JWT nhận được từ ứng dụng hoặc hệ thống khác. Chính sách này cũng trích xuất các thông báo xác nhận quyền sở hữu thành các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo có thể kiểm tra các giá trị đó nhằm đưa ra quyết định uỷ quyền hoặc định tuyến. Hãy xem bài viết Tổng quan về các chính sách JWS và JWT để nắm được nội dung giới thiệu chi tiết.

Khi chính sách này thực thi, Edge sẽ xác minh chữ ký của JWT và xác minh rằng JWT là hợp lệ theo thời gian hết hạn chứ không phải trước thời điểm nếu có. Chính sách này cũng có thể tuỳ ý xác minh giá trị của các thông báo xác nhận quyền sở hữu cụ thể trên JWT, chẳng hạn như chủ thể, người phát hành, đối tượng hoặc giá trị của thông báo xác nhận quyền sở hữu bổ sung.

Nếu JWT đã được xác minh và hợp lệ, thì mọi thông báo xác nhận quyền sở hữu trong JWT sẽ được trích xuất thành các biến ngữ cảnh để dùng cho các chính sách hoặc điều kiện tiếp theo, và yêu cầu sẽ được phép tiếp tục. Nếu không thể xác minh chữ ký JWT hoặc nếu JWT không hợp lệ vì một trong những dấu thời gian, thì mọi quá trình xử lý sẽ dừng và lỗi sẽ được trả về trong phản hồi.

Để tìm hiểu về các thành phần của JWT cũng như cách các thành phần đó được mã hoá và ký, hãy tham khảo RFC7519.

Video

Xem một video ngắn để tìm hiểu cách xác minh chữ ký trên JWT.

Mẫu

• Xác minh JWT được ký bằng thuật toán HS256
• Xác minh JWT đã ký bằng thuật toán RS256

Xác minh một JWT được ký bằng thuật toán HS256

Chính sách ví dụ này xác minh một JWT đã được ký bằng thuật toán mã hoá HS256, HMAC bằng giá trị tổng kiểm SHA-256. JWT được chuyển vào yêu cầu proxy bằng cách sử dụng tham số biểu mẫu có tên jwt. Khoá này nằm trong biến có tên private.secretkey. Xem video ở trên để biết ví dụ hoàn chỉnh, bao gồm cả cách gửi yêu cầu đối với chính sách.

Cấu hình chính sách bao gồm thông tin mà Edge cần để giải mã và đánh giá JWT, chẳng hạn như nơi tìm JWT (trong biến luồng được chỉ định trong phần tử Nguồn), thuật toán ký bắt buộc, nơi tìm khoá bí mật (được lưu trữ trong biến luồng Edge, có thể được truy xuất từ Edge KVM chẳng hạn) và tập hợp các xác nhận quyền sở hữu bắt buộc cũng như giá trị của chúng.

<VerifyJWT name="JWT-Verify-HS256">
    <DisplayName>JWT Verify HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey encoding="base64">
        <Value ref="private.secretkey"/>
    </SecretKey>
    <Subject>monty-pythons-flying-circus</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>fans</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>
    </AdditionalClaims>
</VerifyJWT>

Chính sách này ghi đầu ra vào các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo trong proxy API có thể kiểm tra các giá trị đó. Hãy xem phần Biến luồng để biết danh sách các biến do chính sách này đặt.

Xác minh JWT đã ký bằng thuật toán RS256

Chính sách trong ví dụ này xác minh một JWT đã được ký bằng thuật toán RS256. Để xác minh, bạn cần cung cấp khoá công khai. JWT được chuyển vào yêu cầu proxy bằng cách sử dụng tham số biểu mẫu có tên jwt. Khoá công khai nằm trong biến có tên public.publickey. Xem video ở trên để biết ví dụ hoàn chỉnh, bao gồm cả cách gửi yêu cầu đối với chính sách.

Hãy xem Tài liệu tham khảo về phần tử để biết thông tin chi tiết về các yêu cầu và lựa chọn cho từng phần tử trong chính sách mẫu này.

<VerifyJWT name="JWT-Verify-RS256">
    <Algorithm>RS256</Algorithm>
    <Source>request.formparam.jwt</Source>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PublicKey>
        <Value ref="public.publickey"/>
    </PublicKey>
    <Subject>apigee-seattle-hatrack-montage</Subject>
    <Issuer>urn://apigee-edge-JWT-policy-test</Issuer>
    <Audience>urn://c60511c0-12a2-473c-80fd-42528eb65a6a</Audience>
    <AdditionalClaims>
        <Claim name="show">And now for something completely different.</Claim>    
    </AdditionalClaims>
</VerifyJWT>

Đối với cấu hình ở trên, JWT có tiêu đề này ...

{
  "typ" : "JWT", 
  "alg" : "RS256"
}

Và tải trọng này ...

{ 
  "sub" : "apigee-seattle-hatrack-montage",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

... sẽ được coi là hợp lệ nếu chữ ký có thể được xác minh bằng khoá công khai đã cung cấp.

JWT có cùng tiêu đề nhưng với tải trọng này ...

{ 
  "sub" : "monty-pythons-flying-circus",
  "iss" : "urn://apigee-edge-JWT-policy-test",
  "aud" : "urn://c60511c0-12a2-473c-80fd-42528eb65a6a",
  "show": "And now for something completely different."
}

... sẽ được xác định là không hợp lệ, ngay cả khi có thể xác minh chữ ký, vì thông báo xác nhận quyền sở hữu "phụ" có trong JWT không khớp với giá trị bắt buộc của phần tử "Tiêu đề" như được chỉ định trong cấu hình chính sách.

Chính sách này ghi đầu ra vào các biến ngữ cảnh để các chính sách hoặc điều kiện tiếp theo trong proxy API có thể kiểm tra các giá trị đó. Hãy xem phần Biến luồng để biết danh sách các biến do chính sách này đặt.

Thiết lập thành phần chính

Các phần tử mà bạn sử dụng để chỉ định khoá dùng để xác minh JWT còn phụ thuộc vào thuật toán đã chọn, như minh hoạ trong bảng sau:

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.secretkey"/>
</SecretKey>

<PublicKey>
  <Value ref="rsa_public_key_or_value"/>
</PublicKey>

<PublicKey>
  <Certificate ref="signed_cert_val_ref"/>
</PublicKey>

<PublicKey>
  <JWKS ref="jwks_val_or_ref"/>
</PublicKey>

Tham chiếu phần tử

Tài liệu tham khảo về chính sách mô tả các phần tử và thuộc tính của chính sách Xác minh JWT.

Lưu ý: Cấu hình sẽ khác nhau đôi chút tuỳ thuộc vào thuật toán mã hoá mà bạn sử dụng. Hãy tham khảo phần Ứng dụng mẫu để xem các ví dụ minh hoạ cấu hình cho các trường hợp sử dụng cụ thể.

Những thuộc tính áp dụng cho phần tử cấp cao nhất

<VerifyJWT name="JWT" continueOnError="false" enabled="true" async="false">

Những thuộc tính sau đây là những thuộc tính chung của tất cả phần tử mẹ của chính sách.

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Sử dụng cùng với thuộc tính tên để gắn nhãn cho chính sách bằng một tên khác bằng ngôn ngữ tự nhiên trong trình chỉnh sửa proxy giao diện người dùng quản lý.

<Algorithm>

<Algorithm>HS256</Algorithm>

Chỉ định thuật toán mã hoá để ký mã thông báo. Thuật toán RS*/PS*/ES* sử dụng một cặp khoá công khai/bí mật, trong khi thuật toán HS* sử dụng một cặp khoá bí mật dùng chung. Xem thêm bài viết Giới thiệu về thuật toán mã hoá chữ ký.

Bạn có thể chỉ định nhiều giá trị được phân tách bằng dấu phẩy. Ví dụ: "HS256, HS512" hoặc "RS256, PS256". Tuy nhiên, bạn không thể kết hợp thuật toán HS* với bất kỳ thuật toán nào khác hoặc thuật toán ES* với bất kỳ thuật toán nào khác vì các thuật toán này yêu cầu một loại khoá cụ thể. Bạn có thể kết hợp thuật toán RS* và PS*.

<Audience>

<Audience>audience-here</Audience>

or:

<Audience ref='variable-name-here'/>

Chính sách này xác minh rằng thông báo xác nhận quyền sở hữu đối tượng trong JWT khớp với giá trị được chỉ định trong cấu hình. Nếu không có kết quả trùng khớp, chính sách sẽ gửi lỗi. Thông báo xác nhận quyền sở hữu này xác định những người nhận mà JWT muốn gửi. Đây là một trong những thông báo xác nhận quyền sở hữu đã được đăng ký và được đề cập trong RFC7519.

<AdditionalClaims/Claim> (Xác nhận bổ sung/Xác nhận quyền sở hữu>)

<AdditionalClaims>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
 </AdditionalClaims>

or:

<AdditionalClaims ref='claim_payload'/>

Xác thực rằng tải trọng JWT chứa(các) thông báo xác nhận bổ sung được chỉ định và các giá trị xác nhận quyền sở hữu đã xác nhận trùng khớp với nhau.

Thông báo xác nhận quyền sở hữu bổ sung có tên không phải là một trong các tên xác nhận quyền sở hữu chuẩn được đăng ký và được đăng ký tại JWT. Giá trị của một tuyên bố bổ sung có thể là chuỗi, số, boolean, tệp ánh xạ hoặc mảng. Tệp ánh xạ chỉ đơn giản là một tập hợp các cặp tên/giá trị. Bạn có thể chỉ định giá trị cho thông báo xác nhận quyền sở hữu thuộc bất kỳ loại nào trong số này một cách rõ ràng trong cấu hình chính sách hoặc gián tiếp thông qua tham chiếu đến biến luồng.

Phần tử <Claim> có các thuộc tính sau:

• name – (Bắt buộc) Tên của thông báo xác nhận quyền sở hữu.
• ref – (Không bắt buộc) Tên của biến luồng. Nếu có, chính sách này sẽ sử dụng giá trị của biến này làm thông báo xác nhận quyền sở hữu. Nếu bạn chỉ định cả thuộc tính ref và giá trị tuyên bố rõ ràng, thì giá trị tường minh sẽ là giá trị mặc định và được dùng nếu biến luồng được tham chiếu không được phân giải.
• type – (Không bắt buộc) Một trong các loại: string (mặc định), number, boolean hoặc map
• mảng – (Không bắt buộc) Đặt thành true để cho biết liệu giá trị có phải là một mảng các loại hay không. Mặc định: false.

Khi bạn thêm phần tử <Claim>, tên thông báo xác nhận quyền sở hữu sẽ được đặt cố định khi bạn định cấu hình chính sách. Ngoài ra, bạn có thể truyền đối tượng JSON để chỉ định tên xác nhận quyền sở hữu. Vì đối tượng JSON được truyền dưới dạng biến, nên tên xác nhận quyền sở hữu được xác định trong thời gian chạy.

Ví dụ:

<AdditionalClaims ref='json_claims'/>

Trong đó biến json_claims chứa đối tượng JSON ở dạng:

{
  "sub" : "person@example.com",
  "iss" : "urn://secure-issuer@example.com",
  "non-registered-claim" : {
    "This-is-a-thing" : 817,
    "https://example.com/foobar" : { "p": 42, "q": false }
  }
}

<AdditionalHeaders/Claim> (Thông tin bổ sung/Xác nhận quyền sở hữu>)

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Xác thực rằng tiêu đề JWT chứa(các) cặp tên/giá trị xác nhận bổ sung được chỉ định và các giá trị xác nhận quyền sở hữu trùng khớp với nhau.

Thông báo xác nhận quyền sở hữu bổ sung sử dụng tên không phải là một trong các tên xác nhận quyền sở hữu JWT chuẩn đã được đăng ký. Giá trị của một tuyên bố bổ sung có thể là chuỗi, số, boolean, tệp ánh xạ hoặc mảng. Tệp ánh xạ chỉ đơn giản là một tập hợp các cặp tên/giá trị. Bạn có thể chỉ định giá trị cho thông báo xác nhận quyền sở hữu thuộc bất kỳ loại nào trong số này một cách rõ ràng trong cấu hình chính sách hoặc gián tiếp thông qua tham chiếu đến biến luồng.

Phần tử <Claim> có các thuộc tính sau:

• name – (Bắt buộc) Tên của thông báo xác nhận quyền sở hữu.
• ref – (Không bắt buộc) Tên của biến luồng. Nếu có, chính sách này sẽ sử dụng giá trị của biến này làm thông báo xác nhận quyền sở hữu. Nếu bạn chỉ định cả thuộc tính ref và giá trị tuyên bố rõ ràng, thì giá trị tường minh sẽ là giá trị mặc định và được dùng nếu biến luồng được tham chiếu không được phân giải.
• type – (Không bắt buộc) Một trong các loại: string (mặc định), number, boolean hoặc map
• mảng – (Không bắt buộc) Đặt thành true để cho biết liệu giá trị có phải là một mảng các loại hay không. Mặc định: false.

<CustomClaims>

Lưu ý: Hiện tại, phần tử CustomClaims sẽ được chèn khi bạn thêm một chính sách GenerateJWT mới thông qua giao diện người dùng. Phần tử này không hoạt động và bị bỏ qua. Phần tử chính xác cần sử dụng là <AdditionalClaims> (Giao diện người dùng). Giao diện người dùng sẽ được cập nhật để chèn đúng phần tử sau này.

<Mã nhận dạng>

<Id>explicit-jti-value-here</Id>
 -or-
<Id ref='variable-name-here'/>
 -or-
<Id/>

Xác minh rằng JWT có xác nhận quyền sở hữu jti cụ thể. Khi cả giá trị văn bản và thuộc tính tham chiếu đều trống, chính sách này sẽ tạo một jti chứa UUID ngẫu nhiên. Tuyên bố xác nhận quyền sở hữu mã JWT (jti) là giá trị nhận dạng duy nhất của JWT. Để biết thêm thông tin về jti, hãy tham khảo RFC7519.

<IgnoreCriticalHeaders>

<IgnoreCriticalHeaders>true|false</IgnoreCriticalHeaders>

Đặt thành false nếu bạn muốn chính sách báo lỗi khi có bất kỳ tiêu đề nào trong tiêu đề crit của JWT không có trong phần tử <KnownHeaders>. Đặt thành true để khiến chính sách VerifyJWT bỏ qua tiêu đề crit.

Một lý do để đặt phần tử này thành true (đúng) là nếu bạn đang trong môi trường kiểm thử và chưa sẵn sàng gây ra lỗi trên tiêu đề bị thiếu.

<IgnoreIssuedAt>

<IgnoreIssuedAt>true|false</IgnoreIssuedAt>

Đặt thành false (mặc định) nếu bạn muốn chính sách gửi một lỗi khi JWT chứa thông báo xác nhận quyền sở hữu iat (Được phát hành lúc) chỉ định một thời điểm trong tương lai. Nếu bạn đặt chính sách này thành true (đúng), thì chính sách sẽ bỏ qua iat trong quá trình xác minh.

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Đặt thành false nếu bạn muốn chính sách này báo lỗi khi không thể giải quyết mọi biến được tham chiếu đã chỉ định trong chính sách. Đặt thành true để coi mọi biến không thể phân giải là chuỗi trống (null).

<Issuer>

<Issuer ref='variable-name-here'/>
<Issuer>issuer-string-here</Issuer>

Chính sách này xác minh rằng trình phát hành trong JWT khớp với chuỗi được chỉ định trong phần tử cấu hình. Đơn khiếu nại xác định bên phát hành JWT. Đây là một trong nhóm thông báo xác nhận quyền sở hữu đã đăng ký và được đề cập trong RFC7519.

<KnownHeaders>

<KnownHeaders>a,b,c</KnownHeaders>

or:

<KnownHeaders ref=’variable_containing_headers’/>

Chính sáchGenerateJWT sử dụng phần tử <CriticalHeaders> để điền tiêu đề crit trong JWT. Ví dụ:

{
  “typ: “...”,
  “alg” : “...”,
  “crit” : [ “a”, “b”, “c” ],
}

Chính sách VerifyJWT kiểm tra tiêu đề crit trong JWT nếu có. Đối với mỗi tiêu đề được liệt kê, chính sách sẽ kiểm tra để đảm bảo rằng phần tử <KnownHeaders> cũng liệt kê tiêu đề đó. Phần tử <KnownHeaders> có thể chứa tập mẹ của các mục được liệt kê trong crit. Điều cần thiết là tất cả tiêu đề được liệt kê trong crit phải được liệt kê trong phần tử <KnownHeaders>. Nếu bất kỳ tiêu đề nào mà chính sách này tìm thấy trong crit nhưng không cũng có trong <KnownHeaders>, thì chính sách này đều sẽ khiến chính sách VerifyJWT không thành công.

Bạn có thể tuỳ ý định cấu hình chính sách VerifyJWT để bỏ qua tiêu đề crit bằng cách đặt phần tử <IgnoreCriticalHeaders> thành true.

<Khoá công khai/Chứng chỉ>

<PublicKey>
   <Certificate ref="signed_public.cert"/>
</PublicKey>
-or-
<PublicKey>
    <Certificate>
    -----BEGIN CERTIFICATE-----
    cert data
    -----END CERTIFICATE-----
    </Certificate>
</PublicKey>

Chỉ định chứng chỉ đã ký dùng để xác minh chữ ký trên JWT. Hãy sử dụng thuộc tính ref để truyền chứng chỉ đã ký trong một biến luồng hoặc chỉ định trực tiếp chứng chỉ được mã hóa PEM. Chỉ sử dụng khi thuật toán là một trong các giá trị RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

<PublicKey/JWKS>

<!-- Specify the JWKS. -->
<PublicKey>
   <JWKS>jwks-value-here</JWKS>
</PublicKey>

or:

<!-- Specify a variable containing the JWKS. -->
<PublicKey>
   <JWKS ref="public.jwks"/>
</PublicKey>

or:

<!-- Specify a public URL that returns the JWKS.
The URL is static, meaning you cannot set it using a variable. -->
<PublicKey>
   <JWKS uri="jwks-url"/>
</PublicKey>

Chỉ định một giá trị ở định dạng JWKS (RFC 7517) chứa một tập hợp các khoá công khai. Chỉ sử dụng khi thuật toán là một trong các giá trị RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

Nếu JWT đến có mã nhận dạng khoá nằm trong tập hợp JWKS, thì chính sách này sẽ sử dụng khoá công khai chính xác để xác minh chữ ký JWT. Để biết thông tin chi tiết về tính năng này, hãy xem bài viết Sử dụng Bộ khoá web JSON (JWKS) để xác minh JWT.

Nếu bạn tìm nạp giá trị từ một URL công khai, Edge sẽ lưu JWKS vào bộ nhớ đệm trong khoảng thời gian 300 giây. Khi bộ nhớ đệm hết hạn, Edge sẽ tìm nạp lại JWKS.

<PublicKey/Value>

<PublicKey>
   <Value ref="public.publickeyorcert"/>
</PublicKey>
-or-
<PublicKey>
    <Value>
    -----BEGIN PUBLIC KEY-----
    MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw2kPrRzcufvUNHvTH/WW
    Q0UrCw5c0+Y707KX3PpXkZGbtTT4nvU1jC0d1lHV8MfUyRXmpmnNxJHAC2F73IyN
    C5TBtXMORc+us7A2cTtC4gZV256bT4h3sIEMsDl0Joz9K9MPzVPFxa1i0RgNt06n
    Xn/Bs2UbbLlKP5Q1HPxewUDEh0gVMqz9wdIGwH1pPxKvd3NltYGfPsUQovlof3l2
    ALvO7i5Yrm96kknfFEWf1EjmCCKvz2vjVbBb6mp1ZpYfc9MOTZVpQcXSbzb/BWUo
    ZmkDb/DRW5onclGzxQITBFP3S6JXd4LNESJcTp705ec1cQ9Wp2Kl+nKrKyv1E5Xx
    DQIDAQAB
    -----END PUBLIC KEY-----
    </Value>
</PublicKey>

Chỉ định khoá công khai hoặc chứng chỉ công khai dùng để xác minh chữ ký trên JWT. Sử dụng thuộc tính ref để truyền khoá/chứng chỉ trong biến luồng hoặc chỉ định trực tiếp khoá được mã hoá PEM. Chỉ sử dụng khi thuật toán là một trong các loại RS256/RS384/RS512, PS256/PS384/PS512 hoặc ES256/ES384/ES512.

<SecretKey/Value>

<SecretKey encoding="base16|hex|base64|base64url">
  <Value ref="private.your-variable-name"/>
</SecretKey>

Cung cấp khoá bí mật dùng để xác minh hoặc ký mã thông báo bằng thuật toán HMAC. Chỉ sử dụng khi thuật toán là một trong các mã HS256, HS384, HS512..

<Nguồn>

<Source>jwt-variable</Source>

Nếu có, hãy chỉ định biến luồng mà chính sách dự kiến sẽ tìm JWT để xác minh.

<Subject>

<Subject>subject-string-here</Subject>

Chính sách này xác minh rằng chủ thể trong JWT khớp với chuỗi được chỉ định trong cấu hình chính sách. Tuyên bố này xác định hoặc đưa ra tuyên bố về chủ thể của JWT. Đây là một trong những nhóm thông báo xác nhận quyền sở hữu tiêu chuẩn được đề cập trong RFC7519.

<TimeAllowance>

<TimeAllowance>120s</TimeAllowance>

"Thời gian ân hạn" cho thời gian. Ví dụ: nếu thời gian cho phép được định cấu hình là 60 giây, thì JWT đã hết hạn sẽ được coi là vẫn hợp lệ trong 60 giây sau khi hết hạn được xác nhận. Giá trị không phải thời gian trước đó cũng sẽ được đánh giá tương tự. Giá trị mặc định là 0 giây (không có thời gian gia hạn).

Biến luồng

Sau khi thành công, các chính sách Xác minh JWT và Giải mã JWT sẽ đặt các biến ngữ cảnh theo mẫu sau:

jwt.{policy_name}.{variable_name}

Ví dụ: nếu tên chính sách là jwt-parse-token, thì chính sách này sẽ lưu trữ đối tượng được chỉ định trong JWT vào biến ngữ cảnh có tên là jwt.jwt-parse-token.decoded.claim.sub. (Để có khả năng tương thích ngược, tính năng này cũng có trong jwt.jwt-parse-token.claim.subject)

Tham chiếu lỗi

Phần này mô tả các mã lỗi và thông báo lỗi được trả về, cũng như các biến lỗi do Edge đặt khi chính sách này kích hoạt lỗi. Thông tin này đóng vai trò quan trọng trong việc phát triển các quy tắc lỗi để xử lý lỗi. Để tìm hiểu thêm, hãy xem Những điều bạn cần biết về lỗi chính sách và Xử lý lỗi.

Lỗi thời gian chạy

Những lỗi này có thể xảy ra khi thực thi chính sách.

Lỗi triển khai

Những lỗi này có thể xảy ra khi bạn triển khai proxy chứa chính sách này.

Biến lỗi

Các biến này được đặt khi xảy ra lỗi thời gian chạy. Để biết thêm thông tin, hãy xem Những điều bạn cần biết về lỗi chính sách.

Ví dụ về phản hồi lỗi

Để xử lý lỗi, phương pháp hay nhất là giữ phần errorcode của phản hồi lỗi. Đừng dựa vào văn bản trong faultstring vì văn bản này có thể thay đổi.

Ví dụ về quy tắc lỗi

    <FaultRules>
        <FaultRule name="JWT Policy Errors">
            <Step>
                <Name>JavaScript-1</Name>
                <Condition>(fault.name Matches "TokenExpired")</Condition>
            </Step>
            <Condition>JWT.failed=true</Condition>
        </FaultRule>
    </FaultRules>