在后端 Web 服务位于单独的服务器上并且需要确定给定请求通过 APIM 网关身份验证和授权机制的情况下，验证 JWT 是否由特定 API 管理器实例发出的推荐方法是什么？
我知道 JWT 中的标头字段包含一个“x5t”字段，它是对租户密钥存储中证书的编码引用，详情如下：
https://asankastechtalks.wordpress.com/2013/12/05/obtaining-certificate-used-to-sign-a-jwt/
由于后端 Web 服务位于单独的服务器上，我们是否需要以某种方式将公钥分发给它？另外，我们如何更新用于签署 JWT 的证书，因为它现在使用的是默认值？