关于OAuth2与OpenID Connect的疑问：仅用OAuth2的Access Token解密无Claims？

首先得明确：OAuth2的Access Token没有强制要求包含用户身份类的Claims，这和它的设计初衷直接相关——它的核心作用是给资源服务器验证请求的授权权限，而非承载用户身份信息。

具体分两种情况来看：

• 如果Access Token是不透明令牌（比如一串随机生成的字符串）：你根本没法自行解密或解析，只能调用授权服务器提供的令牌 introspect 接口查询相关信息，但就算查，返回内容里也不一定包含用户的身份Claims（比如用户ID、姓名这类），最多可能有令牌有效期、授权范围、客户端ID这类授权相关信息。
• 如果Access Token是JWT格式：它可能会包含一些Claims，但这些都是授权服务器自定义的，并非OIDC那种标准化的身份Claims。常见的可能有exp（过期时间）、scope（授权范围）、client_id（客户端ID），但不一定会有sub（用户唯一标识）、name、email这类用户身份信息——毕竟OAuth2本身不关注用户身份认证，只负责授权逻辑。

而OIDC的ID Token是专门为承载标准化身份Claims设计的，这也是它和OAuth2 Access Token的核心区别之一：ID Token的存在就是为了让客户端能可靠获取用户身份信息，而Access Token只负责授权访问受保护资源。

内容的提问来源于stack exchange，提问作者Mohamed Mansour