oauth - JWT(Json Web token )受众 "aud"与 Client_Id - 有什么区别？

Question

我正在努力在我的身份验证服务器中实现 OAuth 2.0 JWT access_token。但是，我不清楚 JWT aud 声明和 client_id HTTP header 值之间有什么区别。它们是一样的吗？如果不是，您能解释一下两者之间的区别吗？

我怀疑 aud 应该引用资源服务器，而 client_id 应引用身份验证服务器识别的客户端应用程序之一(即Web 应用程序或 iOS 应用程序)。

在我当前的情况下，我的资源服务器也是我的网络应用程序客户端。

Answer 1

事实证明，我的怀疑是对的。 JWT 中的受众 aud 声明是指应接受 token 的资源服务器。

如this帖子简单地说:

The audience of a token is the intended recipient of the token.

The audience value is a string -- typically, the base address of the resource being accessed, such as https://contoso.com.

OAuth 中的 client_id 指的是将从资源服务器请求资源的客户端应用程序。

客户端应用程序(例如您的 iOS 应用程序)将从您的身份验证服务器请求 JWT。在此过程中，它会传递 client_id 和 client_secret 以及可能需要的任何用户凭据。授权服务器使用 client_id 和 client_secret 验证客户端并返回 JWT。

JWT 将包含一个 aud 声明，指定 JWT 对哪些资源服务器有效。如果 aud 包含 www.myfunwebapp.com，但客户端应用程序尝试在 www.supersecretwebapp.com 上使用 JWT，则访问将被拒绝，因为资源服务器会发现 JWT 不适合它。