Acerca do OAuth2, julgue o próximo item. No OAuth 2, por padrão, os tokens de acesso devem ser do tipo JWT.

Gabarito

Errado

Comentário do professor

A afirmação está errada porque o OAuth 2.0 é um framework de autorização e não impõe um formato específico para o token de acesso.

Em muitas implementações o token é um JWT por oferecer validade auto-contida e assinaturas verificáveis, mas isso é uma escolha do emissor, não uma obrigação do protocolo.

Alternativamente, tokens podem ser opacos (cadeias aleatórias). Nesse caso o recurso consulta o servidor de autorização via endpoint de introspecção para validar permissões.

Há trade-offs: JWT permite validação local sem chamada externa, mas complica revogação; tokens opacos simplificam controle centralizado.

Portanto, dizer que tokens devem ser JWT por padrão é incorreto: o formato depende do servidor de autorização e dos requisitos de segurança.