Question

Oauth的access token 安全么

Answer 1

严格来讲，token只是定义了一种存储数据的格式，分为header,claims set(body),
signature三个部分。具体定义在 RFC 7519 - JSON Web Token (JWT) 我大概说下。
第一部分 header是说明，说明这个token是什么类型，加密验证还是摘要验证。Base64公开的。如:

{"typ":"JWT",
"alg":"HS256"}

第二部分 claims set就是存储的数据。至于用户授权信息放不放在里面，rfc里面没有规定，可以放可以不放，但大家都是放的。Base64公开的。如：

{"iss":"joe",
"exp":1300819380,
"http://example.com/is_root":true}