같은 발급자가 여러 API용 JWT를 발급한다. 한 API가 서명·발급자·만료 시각·사용 시작 시각은 검증하지만 aud를 검사하지 않는다. 이 누락으로 직접 발생할 수 있는 문제는?

정답 2번

aud는 토큰을 사용하도록 의도한 수신자다. 같은 발급자가 같은 서명 키로 발급한 토큰이라도 API A용 토큰을 API B가 받아들여서는 안 된다. B는 서명과 발급자를 확인한 뒤에도 aud에 자신이 허용한 수신자 값이 포함되어 있는지 검증해야 한다. exp에 따른 만료, nbf에 따른 사용 시작 시각, 서명 후 변조는 지문에서 이미 수행한다고 명시한 별도의 검사다. 서명이 유효하다는 사실만으로 모든 서비스에서 사용할 권한이 생기지 않는다.