Token 与身份

不解析 access_token

OAuth access_token 是业务 API 的 Bearer 凭证。当前实现支持不透明 token，客户端不能假设它一定是 JWT，也不能根据未经验证的载荷推断用户、组织或权限。

使用 GET /v1/users/me 获取已授权用户档案。普通 SDK 调用由业务 API 校验凭证，不需要先手动 introspect。

OIDC id_token 与 access_token 用途不同：id_token 用于登录身份验证，不应放入业务 API 的 Authorization 头。OIDC 客户端按实际 issuer 的发现文档配置并验证签名、iss、aud、exp 和 nonce；不要硬编码本文曾使用的 API 域名 issuer 或 JWKS 地址。

生产 accounts issuer 为 https://accounts.appforges.com；staging 为 https://accounts-staging.appforges.com。参见 OAuth 总览。