OAuth2：使用JWT客户端身份验证，JWT授权授权和客户端凭据授权之间有什么区别？

Question

OAuth2 JWT 配置文件引入了将 JWT 用作授权授予和客户端身份验证的可能性。

JWT客户端身份验证功能独立于特定的授权类型，并且可以与任何授权类型一起使用，也可以与客户端凭据授权一起使用。

但是，使用 JWT 授权类型似乎与将客户端凭据授予与 JWT 客户端身份验证结合使用完全相同，只是语法略有不同。

在这两种情况下，客户端都会联系令牌终结点以获取访问令牌：

POST /token.oauth2 HTTP/1.1
Host: as.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer&assertion=[JWT]

vs

POST /token.oauth2 HTTP/1.1
Host: as.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&client_assertion=[JWT]

Answer 1

可能很少。在 OAuth 中，识别客户端的方式和请求身份验证授权的方式是两个不同的概念，因此这些问题分别解决了这些概念：

• 客户端是否可以使用 JWT 向授权服务器进行身份验证？是的。
• 客户可以使用 JWT 提出授权请求吗？是的。

该规范似乎暗示，分离只是一个设计决定，由决策者来寻找对他们有价值的情景：

使用安全令牌进行客户端身份验证与使用安全令牌作为授权授权是正交的，也是可分离的。它们可以组合使用，也可以单独使用。使用JWT的客户端身份验证只是客户端向令牌endpoint进行身份验证的一种替代方式，必须与某些授权类型结合使用，才能形成完整且有意义的协议请求。JWT授权授权可以与或不与客户端认证或标识一起使用。是否需要结合JWT授权授权进行客户端身份验证，以及支持的客户端身份验证类型，由授权服务器自行决定。

一种具体的可能性是：分离可能允许授权服务器根据客户端类型设置不同的策略。例如，对于公共客户端（如移动应用程序），服务器不应接受客户端 creds 授权类型。相反，服务器可以接受公共客户端的 JWT 授权类型，并颁发权限较低的令牌。

除此之外，我认为该设计只是为客户机和服务器提供了一定程度的自由度，以便在需要时进行切换——在迁移该部分时保持现有握手的这一部分不变。

Answer 2

对Josh C的伟大回答有一个稍微不同的观点：碰巧客户端身份验证和授权凭据都可以表示为JWT，但它们背后的语义学是不同的。

这是关于关注点的分离：客户使用标识他们的凭证进行认证，即他们是所谓的主题，而他们使用的是颁发给他们的授权，即他们就是所谓的受众。或作为规范草案的第12版(https://datatracker.ietf.org/doc/html/draft-ietf-oauth-jwt-bearer-12)说：

JWT 必须包含一个“子”（主题）声明，标识作为 JWT 主体的主体。需要区分两种情况：

一个。对于授权授予，使用者通常标识要为其请求访问令牌的授权访问者（即资源所有者或授权委托），但在某些情况下，可以是假名标识符或表示匿名用户的其他值。

B.对于客户端身份验证，使用者必须是 OAuth 客户端的“client_id”。