Traduzione OAuth Token (Opaque to JWT)

Un'osservazione su questo:

now clients can't deduce what they can do or if their token still active

Il modo più sicuro per archiviare il JWT è probabilmente in un cookie sicuro link (per impedire XSS) (+ prendere misure contro XSRF). Se lo fai, il codice lato client non può comunque controllare direttamente il JWT.

Per quanto riguarda la tua domanda iniziale, immagino possa aiutare a dare più controllo sulla scadenza di revoca / sessione. Se si consegna il JWT all'utente finale, si è impotenti fino al raggiungimento di "exp" (e questo parametro è stato deciso dall'emittente, che potrebbe non essere allineato con le proprie politiche). Con l'identificativo opaco, si mantiene il controllo e si può revocare l'accesso in qualsiasi momento. In un certo senso, mantieni la gestione delle sessioni obsolete sfruttando ancora JWT per l'autenticazione delegata.

link

Unlike sessions - which can be invalidated by the server whenever it feels like it - individual stateless JWT tokens cannot be invalidated. By design, they will be valid until they expire, no matter what happens.

link

For a stateful service, you hand out a new short-lived, single-use token for each service - which is then exchanged on the service itself, for a session on that specific service. You never use the token itself as the session.