如何在不访问验证服务器的情况下验证OAuth2访问令牌（JWT）

Question

试图了解OAuth2中的双腿客户端凭据方案。有些人认为JWT是访问令牌的优秀格式，因为它是独立的，资源服务器不需要从授权服务器（STS）验证令牌。但是，这是如何完成的？我看到资源服务器本身验证JWT的唯一方法是在服务器上存储一个用于验证签名的公钥。

Answer 1

当使用JWT作为访问令牌时，资源服务器不需要调用授权服务器来验证它。实际上，资源服务器需要存储授权服务器的公钥才能这样做。获取该公钥是一个带外过程。

验证JWT包括检查签名以及对令牌中嵌入的声明的一些附加检查，例如，时间戳（iat,exp,nbf）和标识符（aud）。

JWT优于其他形式的签名数据/令牌的优点是JWTS是标准化和灵活的。它们使用的密码术使得使用标准库来创建/验证它们成为可能，而不必编写自定义代码。