JWT令牌需要IntroSpection端点吗？

Question

由于JWT令牌是独立的，它可以在资源服务器本地进行验证，并且资源不需要将令牌发送到IdentityServer IntroSpection端点进行验证。

我检查IdentityServer4.AccessTokenValidation的实现，它在本地验证JWT令牌，如果IdentityServerAuthenticationOptions设置为支持JWT。将IntroSpection端点用于JWT令牌的唯一方法是将IdentityServerAuthenticationOptions设置为仅支持参考。

是否有任何特殊情况需要将JWT访问令牌发送到IntroSpection端点？

对于本地没有加密功能的资源服务器，是否应该有引用令牌而不是JWT令牌？

Answer 1

通常在资源服务器上本地验证JWT。

IdentityServer也可以在内省端点验证JWT的技术细节。这可以用于例如当资源服务器没有适当的JWT库（并且你不想在IS端存储引用权标时）。