什么是JWT Principal？RFC 7519提及该概念但未明确定义

首先要明确：RFC 7519中提到的principal不是JWT规范独创的专有名词，它是身份认证与访问控制领域沿用多年的通用安全术语，规范里没有单独给出明确定义，是因为这属于行业默认的基础共识概念，不需要重复赘述。
它的具体含义可以从三个层面理解：

• 核心本质：它是JWT令牌所代表的、经过身份校验的可信实体，也就是鉴权逻辑里"当前发起操作的主体是谁"的答案。这个实体不一定是自然人用户，也可以是服务账号、IoT设备、第三方接入系统等任何需要被鉴权的对象。
• 在JWT结构中的对应关系：principal的唯一标识通常对应JWT Payload中的标准sub（Subject）声明，RFC 7519中明确规定sub声明必须在令牌签发的上下文范围内唯一，指向该令牌的归属实体。部分业务实现也会根据自身设计，把client_id、用户名等自定义声明映射为principal的标识，没有强制统一的字段要求。
• 工程实现中的形态：我们在各类服务端框架（比如Spring Security、ASP.NET Core）里接触到的JWT Principal对象，是框架完成JWT签名校验、有效期校验、签发方校验之后，把令牌中携带的主体标识、关联角色、权限范围等信息封装生成的内存对象。后续所有接口的权限判断、操作审计都是基于这个对象完成，不需要每次业务逻辑都重复解析校验原始令牌。

要注意不要把概念混淆：principal不是JWT令牌本身，也不是令牌里携带的权限集合，它是所有权限、操作行为的归属主体。比如一个JWT里携带了"编辑文档"的权限，这个权限是绑定在principal（也就是令牌对应的用户/服务）上的属性，不是principal本身。

内容的提问来源于stack exchange，提问作者Snowcrash