Важность проверки эмитента и аудитории в JWT, когда приложение является единственным поставщиком токенов для себя

Question

Звучит как глупый вопрос, но я не могу найти / вывести ответ на следующий вопрос из многих статей.

1. Кто такой Issuer?(вероятно, поставщик токенов, которому мы доверяем. Например, «Google, Faceboock и т. д.», и наш сайт принимает токены из темы).
2. Кто такой Audience?
3. Должен ли я проверить эти два, если яне использовать OAuth и OpenID?Я имею в виду, используются ли они только для сторонней аутентификации / авторизации (поскольку мой сайт является единственным эмитентом моих собственных токенов)?
4. На какой риск мне пойти, если я не проверю эти два, когда мой сайт не использует третьи стороны для аутентификации и авторизации?

Answer 1

1. да, эмитент является Поставщиком токена
2. Клиента, т.е. принимающей стороны
3. если у JWT есть аудитория, вы должны подтвердить, что вы являетесь аудиторией
4. кто-то использует токен, выданный для другого сервиса / API (например, API B), против вашего сервиса / API (например, API A)