Access allowed despite authentication failure

Testing version: 5.6.4
Having got an access token using DPoP, if I make a request to a resource but use the token in Bearer mode instead of signing the request with DPoP again, the request succeeds whilst also reporting access denied.

www-authenticate: [Bearer realm="https://inrupt.net", error="access_denied", error_description="Token does not pass the audience allow filter"]

Similarly, if I create a bad DPoP token using the wrong htm I still get the resource despite:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="Invalid PoP token"]

Lastly, creating an invalid DPoP token with a different htu gives me:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="htu https://solid-test-suite-alice.inrupt.net/private/asdasd does not match https://solid-test-suite-alice.inrupt.net/private/"]

whilst also succeeding with the request.

I was just about to post this when I thought of other tests I could do. I sent an invalid Bearer token and it still worked:

www-authenticate: [Bearer realm="https://inrupt.net", error="invalid_token", error_description="Access token is not a JWT"]

It seems that having an active session overrides all other security considerations as all the above fail when there is no session.

Không có tệp, bài kiểm thử hoặc điểm vào nào được nêu. Hãy tái hiện các trường hợp đã báo cáo trên phiên bản 5.6.4 với một phiên đang hoạt động: sử dụng token DPoP làm Bearer, các giá trị htm và htu không hợp lệ, và một token Bearer không hợp lệ. Được xem là hoàn tất khi mỗi lỗi xác thực đều từ chối quyền truy cập tài nguyên thay vì cho phép yêu cầu.