Azure APIM的validate-jwt策略未验证JWT过期时间问题排查

Azure APIM的validate-jwt策略完全具备验证JWT过期时间的能力，你遇到的问题大概率是配置遗漏或存在影响验证逻辑的额外设置，可从以下几个方向排查：

• 确认JWT的exp声明格式：exp必须是秒级Unix时间戳，如果是毫秒级或格式错误，APIM无法正确解析过期时间，导致验证失效。
• 检查clockSkew参数配置：若该参数设置了较大值（如3600秒），会允许过期时间有大幅容错范围，可能导致过期数小时的JWT仍通过验证。无需容错时可将其设为0。
• 验证策略执行顺序：确保validate-jwt在<inbound>节点的早期执行，避免后续策略修改JWT或跳过验证逻辑。
• 排查条件执行逻辑：如果策略被包裹在<choose>/<when>等条件块中，可能部分场景下验证逻辑未被触发。
• 确认APIM系统时间同步：若网关系统时间与实际时间偏差过大，也会导致过期验证判断错误。

以下是包含过期时间验证的基础配置示例：

<validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Invalid token">
  <openid-config url="https://your-issuer/.well-known/openid-configuration" />
  <required-claims>
    <claim name="exp" exists="true" />
  </required-claims>
  <require-expiration-time>true</require-expiration-time>
  <clock-skew>0</clock-skew>
</validate-jwt>

内容的提问来源于stack exchange，提问作者GoldieLocks