我的 JWT 标头中的“at+jwt”是什么？

Question

我见过一些像这样的令牌标题。

{
  "alg": "HS256",
  "typ": "at+jwt"
}

我不清楚at代表什么，也不清楚它意味着什么。检查文档并没有告诉我太多信息。谷歌搜索这个东西有点困难，因为关键字被视为介词。因此，相关点击率也并不高。

它是 IDS4（我们用来创建代币的框架）特有的东西吗？那里也没有明显记录，但这是通常的情况。我不会这么认为，因为我在Spring 的上下文中看到过它，但我不确定。

Answer 1

https://datatracker.ietf.org/doc/html/rfc9068

该规范注册了“application/at+jwt”媒体类型，可用于指示内容是 JWT 访问令牌。JWT 访问令牌必须在“typ”标头参数中包含此媒体类型，以显式声明 JWT 表示符合此配置文件的访问令牌。根据 [RFC7515] 第 4.1.9 节中“typ”的定义，建议省略“application/”前缀。因此，使用的“typ”值应该是“at+jwt”。有关防止 OpenID Connect ID 令牌（如 [OpenID.Core] 第 2 节所定义）被实现此配置文件的资源服务器接受为访问令牌的重要性的详细信息，请参阅“安全注意事项”部分。

另请参阅https://datatracker.ietf.org/doc/html/rfc9068#section-4了解如何必须按照此配置文件验证令牌。