授予访问令牌后的 Oauth2 流程

Question

对于 Oauth2 流程，我了解用户首次使用凭据登录时，客户端应用程序会将这些凭据发送到授权服务器（例如 Google）以获取访问令牌。如果该凭据有效，则将向客户端应用授予访问令牌，并且每次用户在客户端应用上执行某些活动（购买一些在线商品）时

被授予后的访问令牌将存储在客户端，即提供凭据的本地计算机上的用户。每次用户发出一个在头部包含嵌入令牌的请求（例如 Restful 请求）时，服务器将通过检查 JWT 是否格式正确和签名签名来验证 JWT 令牌以验证用户身份。现在这是我不太明白的部分，用于检查嵌入到令牌中的密钥的密钥来自哪里？它是从谷歌授权服务器提供给服务器的吗？是否在第一次从授权中授予访问令牌后存储到服务器数据库中。如果是这样，那么在授予访问令牌第一次用户登录直到需要刷新令牌之后，客户端服务器流程中不需要授权服务器？

Answer 1

访问令牌使用该密钥进行签名。后端可以检查签名是否有效。这样您可以确保令牌不会被更改。 Jwt 令牌是透明的，很容易创建它们或添加一些声明（例如添加管理员角色）。只有授权服务器可以签署令牌，因为它有密钥。任何人都可以检查签名，因为您需要公钥来检查签名，并且任何人都可以从授权服务器获取它。

您可以阅读有关数字签名如何工作的更多信息here。