Я разработал asp. net веб-приложение, защищенное Azure AD. Промежуточное программное обеспечение для подключения к OpenId обеспечивает проверку токена JWT из Azure AD. Как программное обеспечение openid connect owin действительно проверяет токен? Как я понял JWT, и отправитель (сервер, генерирующий JWT), и получатель (приложение, использующее JWT) должны поделиться секретом, но что это за секрет? Я не вижу, что у меня есть секреты? И я даже вижу Javascript примеров, где токен JWT проверен в javascript, как это может работать, javascript не может держать в секрете ничего.