2. OIDC 协议核心概念回顾：ID Token、Access Token、UserInfo Endpoint、JWKS

在深入异步任务编排中的令牌校验故障之前，必须对齐 OIDC（OpenID Connect）协议的核心概念。OIDC 建立在 OAuth 2.0 授权框架之上，增加了身份认证层。异步任务中常见的令牌校验失败，根源往往是对这四个核心要素的职责、格式和生命周期理解不一致。

2.1 核心概念对比

2.2 ID Token 与 Access Token 的职责分离

ID Token 是 身份认证 的产物，Access Token 是 授权 的凭证。在异步任务中，两者生命周期不同：

• ID Token：由授权服务器在认证成功后签发，客户端通过验证其签名和声明来确认用户身份。异步任务通常不直接使用 ID Token 调用 API，而是将其作为用户身份的持久化凭证。
• Access Token：用于访问后端资源（如 UserInfo Endpoint 或业务 API）。异步任务中，Access Token 可能因过期或撤销导致任务失败，需要引入刷新令牌（Refresh Token）机制。

2.3 UserInfo Endpoint 的调用时机

UserInfo Endpoint 是 OIDC 标准定义的受保护资源端点，用于获取用户声明（如姓名、邮箱、手机号）。在异步任务编排中，调用该端点需注意：

• 令牌要求：必须携带有效的 Access Token（通常需要包含 openid profile email 等作用域）。
• 网络依赖：异步任务可能运行在无公网访问的环境，或授权服务器内部网络不稳定，导致 UserInfo 调用超时。
• 缓存策略：对于不频繁变更的用户声明，建议在任务启动时一次性获取并缓存，避免重复调用。

// 示例：使用 Access Token 调用 UserInfo Endpoint
GET /userinfo HTTP/1.1
Host: auth.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ...

HTTP/1.1 200 OK
Content-Type: application/json

{
  "sub": "248289761001",
  "name": "张三",
  "email": "zhangsan@example.com"
}

2.4 JWKS 与签名验证

JWKS（JSON Web Key Set）是授权服务器发布的公钥集合，用于验证 JWT（包括 ID Token 和 JWT 格式的 Access Token）的签名。异步任务中，JWKS 的获取和缓存是校验性能的关键：

• 缓存策略：JWKS 端点通常返回 Cache-Control 头，建议按 max-age 缓存，避免每次校验都发起 HTTP 请求。
• 密钥轮换：授权服务器可能定期轮换签名密钥，缓存过期后需重新拉取。异步任务中若使用过期公钥，会导致签名验证失败。
• 端点可用性：JWKS 端点不可用时，应使用缓存中的公钥继续校验，并记录告警。

2.5 核心交互流程

下图展示了 OIDC 核心概念在令牌校验中的交互关系，重点标注了异步任务中可能出现的故障点：

2.5 异步任务中的校验策略建议