Valider correctement un jeton JWT

Un test d'intrusion a réussi à appeler l'API avec un jeton non signé. Travaillez dans ~/api.

1. Décodez le jeton de l'attaquant : jwt decode $(cat jeton-attaque.txt) → algorithme utilisé → answer alg <valeur>
2. Corrigez auth.js : jwt.verify(token, clePublique, {...}) avec algorithms: ["RS256"], issuer: "https://auth.acme.test", audience: "api-commandes" et clockTolerance: 30 ; supprimez l'appel à jwt.decode utilisé comme vérification
3. Lancez les tests (npm test) : ils doivent tous passer
4. Où ne jamais stocker un jeton d'accès dans le navigateur, à cause du XSS ? → answer stockage <localstorage|cookie-httponly|memoire>