Token 與身份

不解析 access_token

OAuth access_token 是業務 API 的 Bearer 憑證。當前實現支持不透明 token，客戶端不能假設它一定是 JWT，也不能根據未經驗證的載荷推斷用戶、組織或權限。

使用 GET /v1/users/me 獲取已授權用戶檔案。普通 SDK 調用由業務 API 校驗憑證，不需要先手動 introspect。

OIDC id_token 與 access_token 用途不同：id_token 用於登錄身份驗證，不應放入業務 API 的 Authorization 頭。OIDC 客戶端按實際 issuer 的發現文檔配置並驗證簽名、iss、aud、exp 和 nonce；不要硬編碼本文曾使用的 API 域名 issuer 或 JWKS 地址。

生產 accounts issuer 為 https://accounts.appforges.com；staging 為 https://accounts-staging.appforges.com。參見 OAuth 總覽。