クライアントが独自のJWTを作成する必要があります

Question

サードパーティのクライアントにリソースAPI用の有効なJWTを作成させることはできますか？私が見たすべての例では、認可されたクライアントにJWTを発行するための認証サーバーを提供する必要があります。

Answer 1

リソースサーバー（RS）と承認サーバー（AS）の違いを理解する必要があると思います。

サードパーティのクライアントがあなたに代わってトークンの発行と検証を行うことを信頼する場合は、トークンプロセスを委任することができます。

ということで、流れは次のようになります：

1. ユーザーエージェントは、あなたのリソースのエンドポイントにアクセス。
2. セキュリティチェーンが認証セッションを持っているかどうかを確認し、そうであればリクエストを進めます。
3. トークンを使用しない場合は、ユーザーをトークンを使用して第三者認証エンドポイントにリダイレクトします。
4. ユーザー認証に成功した後、コールバックがリソースアクセスを再開します。
5. 失敗した場合は、ユーザーに拒否ページにアクセスします。