OIDC中为何将IdToken设计为JWT格式？

• 防篡改的自验证能力：JWT自带数字签名机制，客户端拿到IdToken后，无需调用认证服务器接口，就能用服务器公钥验证令牌内容是否被篡改。如果用普通JSON，客户端根本无法确认数据的真实性，随便伪造一段用户信息就能冒充合法请求，安全风险极高。
• 自包含特性减少服务端依赖：JWT内部已经封装了用户身份标识、令牌有效期、授权范围等核心数据，客户端无需额外发起请求获取用户信息。即便客户端与认证服务器的连接临时中断，也能通过解析JWT完成基础的身份校验逻辑，比如判断用户是否处于登录状态、令牌是否过期。
• 标准化格式降低集成成本：JWT是业界通用的令牌标准，不仅适配OpenID Connect协议，还能在其他跨系统授权场景中复用。如果采用自定义JSON格式，不同服务之间需要额外适配数据结构，大幅提升了跨系统集成的复杂度。
• 适配安全高效的传输场景：JWT经过Base64编码后结构紧凑，适合在HTTP请求头、URL参数等场景中传输，避免了普通JSON因特殊字符导致的转义问题，同时数字签名也能确保令牌在传输过程中不被篡改，比明文JSON更安全可靠。

内容的提问来源于stack exchange，提问作者DaniloMourelle