用途 用于在前端与后端实现 OAuth 2.0 与 OpenID Connect（OIDC）流程，并处理安全的令牌生命周期。适用场景包括：构建单点登录（SSO）或联合登录；实现基于标准的令牌的委托 API 访问。
主要能力与工作流
- 按客户端选择授权类型：公共客户端使用 PKCE，机器客户端使用客户端凭证。
- 定义令牌声明、作用域（scopes）与受众（audience）边界。
- 在后端服务上实现安全的令牌校验。
- 设计刷新、轮换、撤销与会话过期行为。
- 为认证失败和可疑令牌使用添加可观测性。
提供方与流程指导
- 浏览器和移动客户端优先采用带 PKCE 的授权码流程。
- 保持访问令牌短生命周期；较长会话使用带轮换的刷新令牌。
- 在每个信任边界校验令牌；绝不单独信任客户端侧检查。
- 将作用域映射到业务动作，而非宽泛的技术分组名称。
必需检查
- 令牌签名、签发者、受众与过期时间均在服务端校验。
- 每个受保护端点强制执行作用域与声明检查。
- 令牌刷新与撤销路径是确定性的。
常见借口与反驳
- “客户端已经检查过认证。”——客户端检查可被绕过；必须在服务端强制授权。
- “长生命周期访问令牌可降低复杂度。”——被攻陷后影响范围更大。
- “任何有效令牌都应可跨 API 通用。”——应强制受众限制，避免令牌混淆。
证据包
- 覆盖登录、刷新、登出与撤销的流程图。
- 针对无效签发者、过期令牌、错误受众、缺失作用域的负面测试证据。
- 密钥轮换或 JWKS 故障处理说明。
- 针对认证异常的安全告警看板。
退出标准
- 身份流程符合标准且安全。
- 令牌误用与故障模式可检测、可恢复。
限制 关于具体收费、价格、支持平台或具体安装命令，资料中暂未提供。