OAuth 2.0授权服务器和访问令牌

Question

我目前正在学习OAuth 2.0和OpenID Connect，我对授权服务器和访问令牌有疑问。规范将授权服务器定义为：

服务器在成功验证资源所有者并获得授权后向客户端发放访问令牌。

因此，据我所知，客户端将用户重定向到授权服务器，用户在授权服务器上进行身份验证，授权服务器向客户端发出访问令牌。

现在有一件事发生了，直到现在我才明白。有两种可能的方法来理解这一点，我正在努力找到正确的方法：

>

授权服务器发出包含用户声明的访问令牌。带有用户的权利要求的访问令牌与每个请求一起被发送到资源服务器并且资源服务器能够读取那些权利要求并且基于这些权利要求然后允许或拒绝对资源的访问。

授权服务器发出已包含明确指令的访问令牌，以允许或拒绝访问资源服务器上的资源。因此，资源服务器只是读取这些信息，以查看用户是否可以执行某些操作。

第一个选项似乎是理解事物的正确方式。在这种情况下，授权服务器将管理用户的声明，并发布只包含声明（如生日、年龄、角色等）的令牌。这反过来又赋予了资源服务器另一项责任：根据声明决定资源是否可用。

第二种选择要有限得多。授权服务器需要为每个资源发出授权，而不是仅仅发出声明，令牌可能会变得相当沉重，管理这种复杂性似乎很困难。

那么我的理解正确吗？因此，授权负责管理用户声明并发布仅包含声明的令牌？另一方面，资源服务器负责根据声明是否允许访问资源？

Answer 1

访问令牌不包含用户声明，但ID令牌包含用户声明。

授权服务器负责管理访问令牌，但不一定要管理用户的声明。应该有一个单独的服务器来管理用户的声明。

第2条听起来很奇怪，因为访问令牌的存在意味着“授权已被授予”

OAuth2.0（RFC6749）是授权规范。OpenID Connect是一种身份验证规范。别糊涂了。