授权服务器JWT受众与Well-Known API发行者URL一致性问询

场景与疑问 #

授权服务器会颁发包含发行者（issuer）信息的访问令牌，该信息会在其Well-Known API中暴露。服务器采用客户端认证JWT令牌完成客户端身份验证，这类JWT由客户端随请求发送至授权服务器，且其受众（audience）声明需包含授权服务器的URL及端口。

现有疑问：Well-Known API中暴露的访问令牌发行者URL是否必须与客户端认证JWT中的受众URL一致？还是客户端认证JWT的受众可以是授权服务器的其他带端口URL？

示例载荷 #

客户端认证JWT载荷：

{
  "aud": "https://server:port"
}

访问令牌JWT载荷：

{
  "iss": "https://server/address/abc"
}

核心结论 #

两者不需要完全一致，客户端认证JWT的受众可以是授权服务器的其他带端口URL，只要该URL指向同一授权服务器实例即可。

具体解释 #

• 客户端认证JWT的aud声明用于标识JWT的目标接收方（即授权服务器）。只要这个aud对应的是授权服务器的有效端点地址（比如令牌端点、Well-Known端点所在的服务器地址），授权服务器就能识别并验证该客户端JWT的合法性。
• 访问令牌的iss声明是授权服务器的唯一标识符，这个值会在Well-Known配置的issuer字段中暴露，作用是让资源服务器验证令牌的发行来源，该值必须严格匹配Well-Known API中暴露的发行者URL。

结合示例来看：客户端认证JWT的aud为https://server:port，访问令牌的iss为https://server/address/abc，只要这两个地址指向同一授权服务器，该配置就是合规有效的。授权服务器验证客户端JWT时仅需确认aud是自身的有效接收地址；资源服务器验证访问令牌时，仅需确认iss与Well-Known配置中的发行者URL一致。

注意事项 #

• 客户端认证JWT的aud必须是授权服务器认可的自身地址，不能是无关第三方地址。
• 访问令牌的iss必须严格匹配Well-Known API中暴露的发行者URL，否则资源服务器会拒绝该令牌。

内容的提问来源于stack exchange，提问作者user890234