2021년 글이지만 최근에 OAuth나 JWT를 직접 구현하지 않아서 모르고 있다가 다른 글을 통해서 발견한 글입니다.

글을 쓴 사람은 Auth0 직원인데 OAuth 2에는 Access Token의 형태는 정의하지 않고 있기 때문에 각 회사에서 Access Token의 형태가 달라졌기 때문에 여러 서비스를 지원할 때 어려움이 있어서 이부분에 대한 조사를 시작했다고 합니다.

보통 OAuth 2에서는 권한을 검증하는 인가 서버와 실제 리소스를 사용하는 리소스 서버가 분리되어 있기 마련인데 한 조직내에서라면 리소스 서버가 인가 서버에 접속할 수 있기 때문에 쉽게 리소스 서버에 들어온 Access Token이 유효한지 검증할 수 있습니다.

하지만 서드 파티와의 연동을 한다면 리소스 서버가 인가 서버와 상태를 공유할 수 없기 때문에 Access Token를 검증할 다른 방법이 필요하게 되는데 이때 JWT를 사용하면 편하게 쓸 수 있습니다.

조사한 결과 대부분의 서비스에서 JWT의 데이터는 비슷했지만 클레임 형태, 즉, JWT에 포함되는 각 필드면의 이름이 약간씩 달랐기 때문에 이를 통일 시킬수 있다고 생각해서 조사한 내용을 IETF에서 제안을 올리게 되었다고 합니다.

참석자들도 대부분 비슷한 문제를 겪고 있었기 때문에 동의를 얻고 이후 IETF 표준화 프로세스를 거쳐서 RFC 9068 JWT Profile for OAuth 2.0 Access Token 표준이 되었고 이를 통해 OAuth의 JWT 토큰의 형태를 통일시킬 수 있게 되었습니다.

https://auth0.com/blog/how-the-jwt-profile-for-oauth-20-access-tokens-became-rfc9068/