我有一个场景,用户可以从前端应用程序登录/注册Azure AD B2C。在那之后,他们会调用一个API应用程序(使用JWT令牌),独立于这个前端。要求API应用程序验证用户的令牌,并决定是否执行请求。我可以使用auth头将JWT令牌从前端发送到API。我也可以在API中接收它。现在的挑战是验证这个令牌不是由中间人伪造的,或者只是被获得它的人滥用。我知道每个令牌都有一个时间戳,可以检查是否过期。然而,这还不够。我需要以某种方式对照Azure AD B2C来检查它。
更新: API是基于NodeJs的Azure Functions应用程序