Glossário — identidade, JWT e APIs (login)
Vocabulário para tokens, identidade e chamadas de API após o login. Isto é texto de ajuda; nomes exatos de claims e comportamento seguem a documentação e metadados atuais da Intastellar.
OAuth 2.0 vs OpenID Connect (OIDC)
Significado: OAuth 2.0 é um framework de autorização — acesso a recursos (muitas vezes APIs). OpenID Connect constrói sobre OAuth e acrescenta identidade — um ID token e claims padrão sobre o usuário.
Na prática: Fluxos «Entrar com …» costumam usar escopos OIDC (openid) mais access tokens OAuth para APIs. O registro do app e a documentação mostram o que a Intastellar expõe.
ID token
Significado: Em geral um JWT que representa autenticação — quem entrou, para qual cliente, em que momento.
Na prática: Valide emissor (iss), audiência (aud) e tempo de vida no servidor antes de confiar nas claims; não trate o ID token bruto como cookie de sessão, salvo se o padrão permitir explicitamente.
Access token
Significado: Credencial apresentada a servidores de recursos (APIs) para provar que a chamada é permitida.
Na prática: Tipicamente de curta duração; atualize ou reautentique conforme as regras do produto — veja Sessões, cookies e tokens.
JWT (JSON Web Token)
Significado: Estrutura compacta assinada (ou cifrada) com cabeçalho, payload (claims) e assinatura.
Na prática: Use bibliotecas para verificar assinaturas contra o JWKS do provedor; nunca decodifique e confie no payload sem verificação criptográfica em produção.
Claim
Significado: Par nome/valor dentro de um token — por ex. subject, email, nome.
Na prática: Claims disponíveis dependem de escopos e configurações da conta; trate claims ausentes com segurança na UI.
sub (subject)
Significado: Identificador estável do usuário no emissor — chave primária para «esta conta» em muitos apps.
Na prática: Prefira sub + emissor como chave interna de usuário em vez de só e-mail (e-mails podem mudar).
iss (issuer)
Significado: Quem emitiu o token — identifica o servidor de autorização.
Na prática: Deve bater com o emissor configurado; divergência indica ambiente errado ou mistura de tokens.
aud (audience)
Significado: Para qual(is) cliente(s) o token se destina.
Na prática: Rejeite tokens cuja audiência não corresponda ao seu cliente/API; evita replay de token no app errado.
nonce
Significado: Valor de uso único ligado a um pedido de autorização para mitigar replay em fluxos implícitos/híbridos e amarrar o ID token ao pedido.
Na prática: Gere por tentativa de login; verifique no ID token quando a stack exigir.
JWKS (JSON Web Key Set)
Significado: Conjunto publicado de chaves públicas usadas para verificar assinaturas JWT do emissor.
Na prática: O backend deve buscar e armazenar em cache o JWKS do endpoint documentado; rode chaves quando o provedor rodar.
Servidor de recursos / audiência da API
Significado: A API que aceita access tokens e aplica escopos ou políticas.
Na prática: Separe «login funcionou» (ID token / sessão) de «chamar esta API» (access token com audiência e escopos corretos).
Last updated