서명은 유효하지만 다른 서비스용 aud 토큰이 허용되었다. 누락된 검증은?

1. 1

   payload를 Base64url 디코딩해 JSON 문법이 맞으면 서명과 사용 문맥도 유효하다고 본다.

2. 2

   header의 kid가 존재하는지만 확인하고 그 키가 기대 issuer의 신뢰 키인지 검증하지 않는다.

3. 3

   서명 외에 기대 issuer·audience, 시간 제한과 허용된 토큰 유형을 애플리케이션 문맥에 맞게 검증한다.

4. 4

   토큰을 전달한 쿠키의 이름이 맞으면 다른 서비스용 audience도 현재 API에서 허용한다.