使用Guid作为OAuth2访问令牌是否可行？

Question

我正在尝试查看是否可以让我的OAuth2提供程序返回Guid作为访问令牌。我知道有现有的，定义明确的令牌提供者和格式。

生成的令牌如下所示：

{
    access_token: "a31b99f9-01d7-7165-09be-73d5b7655f15",
    expires_in: 1799,
    token_type= "bearer"
}

我不需要支持声明，其余的身份验证详细信息将存储在后端的某个位置，以便我需要验证它（检查到期时间，检索其他详细信息等）。我只是想知道它是否也是一个可行的选择？

Answer 1

是。只要授权服务器支持OAuth 2.0 Token Introspection，标记就可以通过“引用”传递。

Answer 2

GUID不是令牌。令牌包含您需要能够检索和使用的信息，否则有什么意义呢？令牌包括诸如何时到期等信息等。如果您不知道令牌何时到期，您将如何使用它？

例如，您可以使用GUID作为ClientID或ClientSecret（或两者），但这就是您可以接受的。