Identity Server 4支持的令牌类型？两类令牌区别及适用场景咨询

• 形式与验证逻辑差异：Access Token默认是JWT格式的自包含令牌，本身封装了用户身份、权限范围、过期时间等全部校验所需信息，资源服务器拿到后仅需本地验证签名有效性即可，不需要再请求Identity Server 4（以下简称IS4）；Reference Token是无业务含义的不透明随机字符串，本身不携带任何用户信息，资源服务器每次收到都必须主动向IS4的自省接口发起请求，确认令牌有效性同时获取对应的用户权限数据。
• 撤销能力差异：Access Token一旦签发，有效期内无法被主动作废，除非业务侧额外维护全局黑名单校验逻辑；Reference Token的有效性完全由IS4侧的存储记录控制，IS4可以随时删除对应令牌记录，实现即时作废。
• 性能开销差异：Access Token校验不需要跨服务请求，资源服务器本地即可完成，性能消耗极低；Reference Token每次校验都要发起跨服务请求到IS4，链路延迟更高，也会给IS4带来额外的请求压力。
• 长度差异：JWT格式的Access Token因为要封装大量元数据，长度普遍较长；Reference Token仅为随机字符串，长度很短。

• Access Token适用场景：
  • 普通业务场景，比如通用前后端分离项目、微服务内部调用等，对令牌即时撤销没有强需求
  • 并发量高、对接口响应延迟要求高的业务
  • 令牌受众固定，不需要频繁作废未过期令牌的场景
• Reference Token适用场景：
  • 安全等级要求高的业务，比如金融、政务、支付类系统
  • 需要支持令牌即时作废的业务场景
  • 要求令牌生命周期全程由授权中心统一管控的场景

Reference Token更为适配。
限制用户多端登录的核心需求是：用户在新设备登录后，旧设备上已签发的未过期令牌要立刻失效。如果使用Access Token实现该需求，需要额外维护全局令牌黑名单，每次资源服务器校验令牌时都要先查询黑名单，不仅开发成本高，还要处理黑名单多节点同步、过期清理等一致性问题，很容易出现逻辑漏洞。
而使用Reference Token的话，只需要在IS4侧存储每个用户当前有效令牌绑定的设备标识，当用户在新设备登录时，直接删除该用户之前关联的所有Reference Token存储记录即可，旧令牌下次请求时向IS4自省会直接返回无效，不需要修改任何资源服务器的逻辑，完全符合授权中心统一管控的设计，实现成本低且有效性有保障。

内容的提问来源于stack exchange，提问作者Nikhil Gondaliya