Разные уровни: JWT — формат токена (подписанный JSON). OAuth2 — протокол делегирования доступа: как приложение получает токен доступа к API от имени пользователя. OIDC — надстройка над OAuth2 для аутентификации: ID Token (JWT) с данными о пользователе.
А ещё Провайдеры: Keycloak, Яндекс ID, Google, Auth0
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
JWT — способ упаковать утверждения (claims) в подписанный токен: header.payload.signature. Ничего не говорит о том, как токен получен.
OAuth2 — фреймворк авторизации: роли — владелец ресурса (пользователь), клиент (приложение), сервер авторизации, сервер ресурсов (API). Потоки получения токена: authorization code (+PKCE) для веб и мобильных приложений, client credentials для сервис-к-сервису, device code для ТВ. Результат — access token с областями доступа (scopes): «этому приложению можно читать календарь». OAuth2 не определяет формат токена и не предназначен для входа.
OpenID Connect добавляет аутентификацию: при scope openid сервер возвращает ID Token — JWT с sub (идентификатор пользователя), iss, aud, exp, и есть эндпоинт userinfo. Это «вход через Яндекс ID».
В Spring Security:
sottooauth2Login() — приложение-клиент: перенаправляет на провайдера, получает ID Token, создаёт сессию;oauth2ResourceServer().jwt() — API проверяет подпись access token по JWKS провайдера и берёт права из claims;Структура и валидация JWT, проблема отзыва, роли OAuth2 и authorization code flow, OIDC, и авторизация на уровне методов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.