JWT 与 OAuth 有什么关系？

Question

我最近偶然发现了 JSON Web Tokens (JWT)，据我了解，它们只是一种可以轻松序列化的紧凑形式的令牌（因为它是 JSON）。

现在，我的问题是：JWT 是否以任何形式与 OAuth 相关，还是它们是两个完全独立的概念？

Answer 1

OAuth2 规范实际上并不要求使用 JWT，因为它将令牌视为不透明的，但它们是实施者使用的方便标准。如果您查看 OpenID Connect Specificiation，它建立在 OAuth2 之上以提供身份验证系统，那么您会发现它确实明确使用了 JWT，例如在 ID Token 的定义中。

JWT 还可以以标准方式支持签名和加密（请参阅随附的 JWE 和 JWS 规范）。