当应用程序是其自身的唯一令牌提供者时，验证发行人和受众在JWT中的重要性

Question

听起来像是愚蠢的问题，但是我无法从许多文章中找到/推断以下问题的答案。

1. Issuer是谁？ （可能是我们信任的令牌提供者。例如“ Google，Faceboock等”，并且我们的网站接受主题中的令牌）。
2. Audience是谁？
3. 如果我不使用OAuth和OpenID，我应该验证这两个吗？我的意思是，它们仅用于第三方身份验证/授权吗（因为我的网站是我自己的令牌的唯一发行者）？
4. 如果我的网站不不使用第三方进行身份验证和授权，如果我不验证这两个身份，我应该承担什么风险？

Answer 1

1. 是的，发行者是令牌的提供者
2. 客户，即接收方
3. 如果JWT有观众，则应确认您是观众
4. 有人使用针对您的服务/ API（例如API A）针对不同的服务/ API（例如API B）发行的令牌