Criterio GeneraJWS

Questa pagina si applica ad Apigee e Apigee hybrid.

Visualizza la documentazione di Apigee Edge.

Cosa

Genera un file JWS firmato, con un insieme configurabile di attestazioni. Il file JWS può quindi essere restituito ai client, trasmesso a destinazioni di backend o utilizzato in altri modi. Per un'introduzione dettagliata, consulta la panoramica delle norme JWS e JWT.

Per informazioni sulle parti di un JWS e su come vengono criptate e firmate, consulta RFC7515.

Questo criterio è un criterio estendibile e il suo utilizzo potrebbe avere implicazioni in termini di costi o utilizzo, a seconda della licenza Apigee. Per informazioni sui tipi di criteri e sulle implicazioni di utilizzo, consulta Tipi di criteri.

Video

Nota: il seguente video mostra il proxy Editor classico nell'interfaccia utente di Apigee. Apigee sta introducendo una nuova versione dell'Editor proxy, che ha un design diverso dalla versione classica mostrata nel video.

Guarda un breve video per scoprire come generare un JWT firmato. Sebbene questo video sia specifico per la generazione di un JWT, molti concetti sono uguali per JWS.

Esempi

Genera un JWS firmato con HS256

Questo criterio di esempio genera un file JWS firmato utilizzando l'algoritmo HS256. HS256 si basa su un secret condiviso sia per la firma che per la verifica della firma. Questo JWS utilizza contenuti "allegati", il che significa che l'intestazione, il payload e la firma codificati sono concatenati tra punti per produrre il JWS finale:

[header].[payload].[signature]

Utilizza l'elemento <Payload> per specificare il payload JWS non elaborato e non codificato. In questo esempio, una variabile contiene il payload. Quando questa azione del criterio viene attivata, Apigee codifica l'intestazione e il payload JWS, quindi aggiunge la firma codificata per firmare digitalmente il JWS.

La configurazione dei criteri riportata di seguito crea un JWS da un payload contenuto nella variabile my-payload e archivia il JWS risultante nella variabile output-variable.

<GenerateJWS name="JWS-Generate-HS256">
    <DisplayName>JWS Generate HS256</DisplayName>
    <Algorithm>HS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
        <Id>1918290</Id>
    </SecretKey>
    <Payload ref="my-payload"/>
    <OutputVariable>output-variable</OutputVariable>
</GenerateJWS>

Generazione di un JWT firmato HS256

Questo esempio genera anche un file JWS con contenuti associati che viene firmato utilizzando l'algoritmo HS256. In questo caso, il payload è JSON. L'impostazione dell'intestazione typ su JWT genera un JWS firmato che è anche un JWT firmato. (riferimento)

La configurazione dei criteri riportata di seguito crea un JWS da un payload contenuto nella variabile json-content e archivia il JWS risultante nella variabile output-variable. Il risultato sarà un JWT firmato se e solo se la variabile json-content contiene un payload JSON e le proprietà all'interno di questo payload JSON sono valide per JWT. Ad esempio, la proprietà exp, se presente, deve contenere un valore numerico. La proprietà aud, se presente, deve essere una stringa o un array di stringhe. e così via. Consulta IETF RFC7519 per i dettagli sui valori validi per le attestazioni JWT.

<GenerateJWS name="JWS-Generate-HS256-JWT">
    <Algorithm>HS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <SecretKey>
        <Value ref="private.secretkey"/>
    </SecretKey>
    <Payload ref="json-content"/>
    <AdditionalHeaders>
        <Claim name="typ">JWT</Claim>
    </AdditionalHeaders>
    <OutputVariable>output-variable</OutputVariable>
</GenerateJWS>

Genera un JWS scollegato

Questo criterio di esempio genera un file JWS con contenuti scollegati, firmato utilizzando l'algoritmo RS256. La generazione di una firma RS256 si basa su una chiave privata RSA, che deve essere fornita in formato con codifica PEM.

Un JWS con contenuto scollegato omette il payload dal JWS generato:

[header]..[signature]

Consulta Parti di un JWS/JWT per saperne di più sulla struttura e sul formato di un JWS.

Utilizza l'elemento <Payload> per specificare il payload JWS non elaborato e non codificato. Quando questo criterio viene attivato, Apigee codifica l'intestazione e il payload JWS e li utilizza per generare la firma codificata. Tuttavia, il JWS generato omette il payload codificato dal JWS serializzato. Ciò è utile quando i contenuti firmati sono di grandi dimensioni, binari (ad esempio un'immagine o un PDF) o entrambi. Per consentire la convalida, devi passare alla parte verificante entrambi gli elementi, il JWS e il payload incluso nei contenuti firmati. Se utilizzi il criterio VerificationJWS per verificare il JWS, puoi specificare la variabile contenente il payload con l'elemento <DetachedContent> del criterio VerificationJWS.

<GenerateJWS name="JWS-Generate-RS256">
    <DisplayName>JWS Generate RS256</DisplayName>
    <Algorithm>RS256</Algorithm>
    <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
    <PrivateKey>
        <Value ref="private.privatekey"/>
        <Password ref="private.privatekey-password"/>
        <Id ref="private.privatekey-id"/>
    </PrivateKey>
    <Payload ref="my-payload"/>
    <DetachContent>true</DetachContent>
    <OutputVariable>output-variable</OutputVariable>
</GenerateJWS>

Nota: puoi utilizzare una versione leggermente modificata di questo esempio per generare un JWS per gli algoritmi PS* o ES*. Modifica il valore di <Algorithm>RS256</Algorithm> in PS256, ES256 e così via. La chiave specificata deve essere compatibile con l'algoritmo. Per saperne di più sui requisiti delle chiavi, consulta Informazioni sugli algoritmi di crittografia della firma.

Definire gli elementi chiave

Gli elementi utilizzati per specificare la chiave utilizzata per generare il JWS dipendono dall'algoritmo scelto, come mostrato nella seguente tabella:

Nota: gli algoritmi RS*, PS* ed ES* utilizzano tutti gli stessi elementi per specificare la chiave. I dati chiave forniti devono essere compatibili con l'algoritmo specificato. Per saperne di più sui requisiti delle chiavi, consulta Informazioni sugli algoritmi di crittografia della firma.

Algoritmo	Elementi chiave
HS{256/384/512}^*	<SecretKey> <Value ref="private.secretkey"/> <Id>1918290</Id> </SecretKey>
RS/PS/ES{256/384/512}^*	<PrivateKey> <Value ref="private.privatekey"/> <Password ref="private.privatekey-password"/> <Id ref="private.privatekey-id"/> </PrivateKey> Gli elementi <Password> e <Id> sono facoltativi.
^* Per saperne di più sui requisiti delle chiavi, consulta Informazioni sugli algoritmi di crittografia della firma.

Informazioni sugli elementi per Genera JWS

Il riferimento al criterio descrive gli elementi e gli attributi del criterio Genera JWS.

Nota:la configurazione varierà leggermente in base all'algoritmo di crittografia utilizzato. Consulta gli esempi per trovare esempi che mostrano configurazioni per casi d'uso specifici.

Attributi che si applicano all'elemento di primo livello

<GenerateJWS name="JWS" continueOnError="false" enabled="true" async="false">

I seguenti attributi sono comuni a tutti gli elementi principali del criterio.

Attributo	Description	Predefinito	Presenza
comune	Il nome interno del criterio. I caratteri che puoi usare nel nome sono limitati a: A-Z0-9._\-$ %. Tuttavia, la UI di Apigee applica limitazioni aggiuntive, come la rimozione automatica dei caratteri non alfanumerici. Facoltativamente, utilizza l'elemento <displayname></displayname> per etichettare il criterio nell'editor proxy della UI di Apigee con un nome diverso in linguaggio naturale.	N/A	Obbligatorio
continueOnError	Imposta il criterio su false per restituire un errore in caso di errore di un criterio. Questo è il comportamento previsto per la maggior parte dei criteri. Impostalo su true per continuare a eseguire l'esecuzione del flusso anche in caso di errore di un criterio.	false	Facoltativo
abilitato	Imposta il criterio su true per applicare il criterio. Imposta il criterio su false per "disattivare" il criterio. Il criterio non verrà applicato in modo forzato anche se rimane collegato a un flusso.	true	Facoltativo
async	Questo attributo è obsoleto.	false	Deprecata

<DisplayName>

<DisplayName>Policy Display Name</DisplayName>

Utilizzalo in aggiunta all'attributo name per etichettare il criterio nell'editor proxy della UI di Apigee con un nome diverso in linguaggio naturale.

Predefinito	Se ometti questo elemento, viene utilizzato il valore dell'attributo name del criterio.
Presenza	Facoltativo
Tipo	Stringa

<Algorithm>

<Algorithm>algorithm-here</Algorithm>

Specifica l'algoritmo di crittografia per firmare il token.

Predefinito	N/A
Presenza	Obbligatorio
Tipo	Stringa
Valori validi	HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512, PS256, PS384, PS512

<Intestazioni aggiuntive/claim>

<AdditionalHeaders>
    <Claim name='claim1'>explicit-value-of-claim-here</Claim>
    <Claim name='claim2' ref='variable-name-here'/>
    <Claim name='claim3' ref='variable-name-here' type='boolean'/>
    <Claim name='claim4' ref='variable-name' type='string' array='true'/>
 </AdditionalHeaders>

Inserisci le coppie nome/valore aggiuntive nell'intestazione del JWS.

L'elemento <Claim> supporta la funzionalità di sostituzione dinamica delle stringhe denominata modelli dei messaggi quando type=map.

Predefinito	N/A
Presenza	Facoltativo
Valori validi	Qualsiasi valore che vuoi utilizzare per una rivendicazione aggiuntiva. Puoi specificare la dichiarazione in modo esplicito come stringa, numero, booleano, mappa o array.

L'elemento <Claim> accetta i seguenti attributi:

• name - (Obbligatorio) Il nome della rivendicazione, noto anche come parametro.
• ref - (Facoltativo) Il nome di una variabile di flusso. Se presente, il criterio utilizzerà il valore di questa variabile come attestazione. Se vengono specificati sia un attributo ref sia un valore della rivendicazione esplicita, il valore esplicito è il valore predefinito e viene utilizzato se la variabile di flusso di riferimento non è risolta.
• type - (Facoltativo) Uno dei seguenti: string (default), number, boolean o map
• array - (Facoltativo) Impostalo su true per indicare se il valore è un array di tipi. Valore predefinito: false.

<CriticalHeaders>

<CriticalHeaders>a,b,c</CriticalHeaders>

or:

<CriticalHeaders ref="variable_containing_headers"/>

Aggiunge l'intestazione critica, crit, al file JWS. L'intestazione crit è un array di nomi di intestazioni che devono essere noti e riconosciuti dal ricevitore JWS. Ad esempio, puoi utilizzare questo elemento di configurazione per produrre un'intestazione JWS che, quando decodificata, ha il seguente aspetto:

{
  "typ": "...",
  "alg" : "...",
  "hyb" : "some-value-here",
  "crit" : [ "hyb" ],
}

Questa intestazione JWS afferma che il parametro dell'intestazione hyb è di fondamentale importanza e qualsiasi destinatario del JWS deve comprenderne il significato e il valore.

Ai sensi dello standard IETF RFC 7515, il destinatario di un JWS deve rifiutare il JWS come non valido se il destinatario non comprende uno o più parametri a cui viene fatto riferimento nel parametro crit. In Apigee, il criterio VerificationJWS è conforme a questo comportamento. Per ogni parametro elencato nel parametro crit, verifica che anche l'elemento <KnownHeaders> del criterio VerificationJWS lo elenchi. Qualsiasi intestazione che il criterio VerificationJWS trova in crit e non è elencata anche in <KnownHeaders>, comporta il rifiuto del criterio JWS da parte del criterio VerificationJWS.

Nota: non ha senso includere nell'elenco di CriticalHeaders eventuali parametri di intestazione che non esistono nell'intestazione JWS effettiva. <CriticalHeaders> non aggiunge effettivamente i parametri di riferimento all'intestazione JWS. Definisce solo i contenuti del parametro crit. Puoi utilizzare <AdditionalHeader/Claims> per aggiungere le rivendicazioni o i parametri di intestazione a cui viene fatto riferimento.

Predefinito	N/A
Presenza	Facoltativo
Tipo	Array separato da virgole di una o più stringhe
Valori validi	Un array o un riferimento a una variabile contenente l'array.

<DetachContent>

<DetachContent>true|false</DetachContent>

Specifica se generare il JWS con un payload scollegato, <DetachContent>true</DetachContent>, o meno, <DetachContent>false</DetachContent>.

Se specifichi false, il valore predefinito, il JWS generato è nel formato:

[header].[payload].[signature]

Se specifichi true per creare un JWS con un payload scollegato, il JWS generato omette il payload ed è nel formato:

[header]..[signature]

Con un JWS che utilizza un payload scollegato, spetta a te passare il payload originale non codificato alla parte verificante, insieme al JWS serializzato.

Predefinito	false
Presenza	Facoltativo
Tipo	Booleano
Valori validi	true o false

<IgnoreUnresolvedVariables>

<IgnoreUnresolvedVariables>true|false</IgnoreUnresolvedVariables>

Imposta il valore false se vuoi che il criterio generi un errore quando qualsiasi variabile di riferimento specificata nel criterio non è risolvibile. Imposta il valore su true per trattare qualsiasi variabile non risolvibile come stringa vuota (null).

Predefinito	false
Presenza	Facoltativo
Tipo	Booleano
Valori validi	true o false

<OutputVariable>

<OutputVariable>output-variable</OutputVariable>

Specifica il nome della variabile di contesto che verrà impostata dal criterio con il JWS generato. Per impostazione predefinita, il criterio inserisce il valore JWS nella variabile di contesto denominata jws.POLICYNAME.generated_jws.

Predefinito	jws.POLICYNAME.generated_jws
Presenza	Facoltativo
Tipo	Stringa (nome di variabile di flusso)

<Payload>

<Payload ref="flow-variable-name-here" />

or

<Payload>payload-value</Payload>

Specifica il payload JWS non elaborato e non codificato. Specifica una variabile contenente il payload o una stringa.

L'elemento <Payload> supporta la funzionalità di sostituzione dinamica delle stringhe chiamata modelli dei messaggi. Un modello di messaggio consente di eseguire una sostituzione di stringa di variabili nella stringa payload-value. Nell'esempio seguente, il payload verrebbe creato a partire da una combinazione di testo e valore di una variabile.

<Payload>fixed-text-{request.formparam.payload}-more-fixed-text</Payload>

Predefinito	N/A
Presenza	Obbligatorio
Tipo	Stringa, array di byte, flusso o qualsiasi altra rappresentazione del payload JWS non codificato.
Valori validi	Un modello di messaggio o un riferimento a una variabile contenente il payload.

Elemento <PrivateKey>

Questa opzione è facoltativa e deve essere utilizzata solo quando <Algorithm> è una delle opzioni RS*, PS* o ES*. Specifica la chiave privata da utilizzare per la firma, nonché altre informazioni correlate alla chiave privata. Viene utilizzato quando l'algoritmo è asimmetrico.

<PrivateKey>
   <Value ref="private.privatekey"</Value>
</PrivateKey>

Predefinita:	N/A
Presenza:	Facoltativo. Tuttavia, devi includere esattamente uno degli elementi <PrivateKey> o <SecretKey>. Utilizza l'elemento <PrivateKey> quando l'algoritmo è RS*, PS* o ES* e utilizza l'elemento <SecretKey> quando l'algoritmo è HS*.
Tipo:	N/A

<PrivateKey/Id>

<PrivateKey>
  <Id ref="flow-variable-name-here"/>
</PrivateKey>

or

<PrivateKey>
  <Id>your-id-value-here</Id>
</PrivateKey>

Specifica l'ID chiave (kid) da includere nell'intestazione JWS.

Predefinito	N/A
Presenza	Facoltativo
Tipo	Stringa
Valori validi	Una variabile di flusso o una stringa

<PrivateKey/Password>

<PrivateKey>
  <Password ref="private.privatekey-password"/>
</PrivateKey>

Specifica la password che il criterio deve utilizzare per decriptare la chiave privata, se necessario. Utilizza l'attributo ref per passare la chiave in una variabile di flusso.

Predefinito	N/A
Presenza	Facoltativo
Tipo	Stringa
Valori validi	Un riferimento a una variabile di flusso. Nota: devi specificare una variabile di flusso con l'attributo ref. Apigee rifiuterà come non valida una configurazione dei criteri in cui la password è specificata in testo non crittografato. La variabile di flusso deve avere il prefisso "private". Ad esempio, private.mypassword

<PrivateKey/Value>

<PrivateKey>
  <Value ref="private.variable-name-here"/>
</PrivateKey>

Specifica una chiave privata con codifica PEM utilizzata per firmare il JWS. Utilizza l'attributo ref per passare la chiave in una variabile di flusso.

Predefinito	N/A
Presenza	Obbligatorio quando si utilizza il criterio per generare un JWS utilizzando uno degli algoritmi RS*, PS* o ES*.
Tipo	Stringa
Valori validi	Una variabile di flusso contenente una stringa che rappresenta un valore di chiave privata con codifica PEM. Nota: la variabile di flusso deve avere il prefisso "private". Ad esempio: private.mykey

<SecretKey>

<SecretKey encoding="base16|hex|base64|base64url" >
  <Id ref="variable-containing-key-id-here">secret-key-id</Id>
  <Value ref="private.variable-here"/>
</SecretKey>

Specifica la chiave segreta da utilizzare durante la generazione di un JWS che utilizza un algoritmo simmetrico (HS*), uno tra HS256, HS384 o HS512.

Questo elemento è facoltativo. Tuttavia, devi includere esattamente uno degli elementi <PrivateKey> o <SecretKey>. Utilizza l'elemento <PrivateKey> quando generi un JWS firmato con un algoritmo asimmetrico (uno di RS*, PS* o ES*) e usa l'elemento <SecretKey> quando generi un JWS firmato con un algoritmo simmetrico (algoritmo come HS*).

Secondari di <SecretKey>

La seguente tabella fornisce una descrizione degli elementi secondari e degli attributi di <SecretKey>:

Figlio	Presenza	Descrizione
codifica (attributo)	Facoltativo	Specifica in che modo viene codificata la chiave nella variabile di riferimento. Per impostazione predefinita, quando non è presente alcun attributo encoding, la codifica della chiave viene trattata come UTF-8. I valori validi per l'attributo sono: hex, base16, base64 o base64url. I valori di codifica esadecimale e base16 sono sinonimi. <SecretKey encoding="hex" > <Id ref="variable-containing-key-id-here">secret-key-id</Id> <Value ref="private.secretkey"/> </SecretKey> Nell'esempio precedente, poiché la codifica è hex, se il contenuto della variabile private.secretkey è 494c6f766541504973, la chiave verrà decodificata come un set di 9 byte, che in esadecimale saranno 49 4c 6f 76 65 41 50 49 73. Nota: Apigee applica una forza minima della chiave. Consulta la documentazione relativa all'elemento Value per i dettagli.
ID (elemento)	Facoltativo	L'identificatore della chiave. Il valore può essere qualsiasi stringa. Puoi specificare il valore come valore di testo letterale o indirettamente tramite un riferimento di variabile, con l'attributo ref. <SecretKey> <Id ref="flow-variable-name-here"/> <Value ref="private.variable-here"/> </SecretKey> or <SecretKey> <Id>your-id-value-here</Id> <Value ref="private.variable-here"/> </SecretKey> Il criterio includerà questo identificatore di chiave come attestazione kid nell'intestazione del JWS generato.
Valore (elemento)	Obbligatorio	Una chiave segreta codificata. Specifica la chiave segreta utilizzata per firmare il payload. Utilizza l'attributo ref per fornire la chiave indirettamente tramite una variabile, ad esempio private.secret-key . <SecretKey> <Id ref="flow-variable-name-here"/> <Value ref="private.my-secret-variable"/> </SecretKey> Nota:il nome della variabile deve includere il prefisso private, come mostrato nell'esempio precedente. Apigee applica una forza minima della chiave per gli algoritmi HS256/HS384/HS512. La lunghezza minima della chiave per HS256 è di 32 byte, per HS384 è di 48 byte e per HS512 è di 64 byte. L'utilizzo di una chiave con potenza inferiore causa un errore di runtime.

<Tipo>

<Type>type-string-here</Type>

Elemento facoltativo il cui unico valore consentito è Signed, in cui viene specificato che il criterio genera un JWS firmato. <Type> viene fornito solo per la corrispondenza con l'elemento corrispondente per i criteri generateJWT e VerificationJWT (dove può assumere uno dei valori Signed o Encrypted).

Predefinito	N/A
Presenza	Facoltativo
Tipo	Stringa
Valore valido	Signed

Variabili di flusso

Il criterio Genera JWS non imposta le variabili di flusso.

Messaggi di errore

Questa sezione descrive i codici e i messaggi di errore che vengono restituiti e le variabili di errore impostate da Apigee quando questo criterio attiva un errore. Queste informazioni sono importanti per sapere se si stanno sviluppando regole di errore per la gestione degli errori. Per scoprire di più, consulta gli articoli Cosa devi sapere sugli errori relativi alle norme e Gestione degli errori.

Errori di runtime

Questi errori possono verificarsi quando il criterio viene eseguito.

Codice di errore	Stato HTTP	Si verifica quando
steps.jws.GenerationFailed	401	Il criterio non è stato in grado di generare il JWS.
steps.jws.InsufficientKeyLength	401	Per una chiave di dimensioni inferiori a 32 byte per l'algoritmo HS256
steps.jws.InvalidClaim	401	Per una rivendicazione mancante o mancata corrispondenza di una rivendicazione oppure una mancata corrispondenza di intestazione o intestazione.
steps.jws.InvalidCurve	401	La curva specificata dalla chiave non è valida per l'algoritmo Curva ellittica.
steps.jws.InvalidJsonFormat	401	JSON non valido trovato nell'intestazione JWS.
steps.jws.InvalidPayload	401	Il payload JWS non è valido.
steps.jws.InvalidSignature	401	<DetachedContent> viene omesso e il JWS ha un payload di contenuti scollegato.
steps.jws.KeyIdMissing	401	Il criterio di verifica utilizza un JWKS come origine per le chiavi pubbliche, ma il JWS firmato non include una proprietà kid nell'intestazione.
steps.jws.KeyParsingFailed	401	Impossibile analizzare la chiave pubblica a partire dalle informazioni sulla chiave specificate.
steps.jws.MissingPayload	401	Payload JWS mancante.
steps.jws.NoAlgorithmFoundInHeader	401	Si verifica quando il JWS omette l'intestazione dell'algoritmo.
steps.jws.SigningFailed	401	In CreateJWS, per una chiave inferiore alla dimensione minima per gli algoritmi HS384 o HS512
steps.jws.UnknownException	401	Si è verificata un'eccezione sconosciuta.
steps.jws.WrongKeyType	401	Tipo di chiave specificato errato. Ad esempio, se specifichi una chiave RSA per un algoritmo Elliptic Curve o una chiave curva per un algoritmo RSA.

Errori di deployment

Questi errori possono verificarsi quando esegui il deployment di un proxy contenente questo criterio.

Nome errore	Si verifica quando
InvalidAlgorithm	Gli unici valori validi sono: RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512, HS256, HS384, HS512.
EmptyElementForKeyConfiguration FailedToResolveVariable InvalidConfigurationForActionAndAlgorithmFamily InvalidConfigurationForVerify InvalidEmptyElement InvalidFamiliesForAlgorithm InvalidKeyConfiguration InvalidNameForAdditionalClaim InvalidNameForAdditionalHeader InvalidPublicKeyId InvalidPublicKeyValue InvalidSecretInConfig InvalidTypeForAdditionalClaim InvalidTypeForAdditionalHeader InvalidValueForElement InvalidValueOfArrayAttribute InvalidVariableNameForSecret MissingConfigurationElement MissingElementForKeyConfiguration MissingNameForAdditionalClaim MissingNameForAdditionalHeader	Altri possibili errori di deployment.

Variabili di errore

Queste variabili vengono impostate quando si verifica un errore di runtime. Per maggiori informazioni, consulta la sezione Cosa devi sapere sugli errori relativi ai criteri.

Variabili	Dove	Esempio
fault.name="fault_name"	fault_name è il nome dell'errore, come indicato nella tabella Errori di runtime riportata sopra. Il nome del guasto è l'ultima parte del codice di errore.	fault.name Matches "TokenExpired"
JWS.failed	Tutti i criteri JWS impostano la stessa variabile in caso di errore.	jws.JWS-Policy.failed = true

Esempio di risposta di errore

Per la gestione degli errori, la best practice prevede il trap della parte errorcode della risposta di errore. Non fare affidamento sul testo nel faultstring, perché potrebbe cambiare.

Esempio di regola di errore

<FaultRules>
    <FaultRule name="JWS Policy Errors">
        <Step>
            <Name>JavaScript-1</Name>
            <Condition>(fault.name Matches "TokenExpired")</Condition>
        </Step>
        <Condition>JWS.failed=true</Condition>
    </FaultRule>
</FaultRules>