当应用程序是其自身唯一的令牌提供者时，验证 JWT 中的发行者和受众的重要性

Question

听起来像是愚蠢的问题，但我无法从许多文章中找到/推断以下问题的答案。

1. 谁是Issuer？（可能是我们信任的令牌提供商。例如“Google、Faceboock 等”，我们的网站接受来自主题的令牌）。
2. 谁是Audience？
3. 如果我不使用OAuthand ，我应该验证这两个吗OpenID？我的意思是，它们仅用于第三方身份验证/授权（因为我的网站是我自己的令牌的唯一发行者）？
4. 当我的网站不使用第三方进行身份验证和授权时，如果我不验证这两者，我应该承担什么风险？

Answer 1

1. 是的，发行者是代币的提供者
2. 客户端，即 OpenID Connect 中的接收者，OAuth 2.0 中的资源服务器
3. 如果 JWT 有受众，接收者应验证它是否是受众
4. 有人针对您的服务/API（例如 API A）使用为不同服务/API（例如 API B）颁发的令牌