A respeito do OAuth 2.0 e de tokens, julgue o item a seguir. Os tokens de acesso devem ser lidos e interpretados pelo cliente OAuth, que é o público-alvo do token.

Gabarito

Errado

Comentário do professor

A afirmação é errada porque o client não é o destinatário que deve interpretar o access token. O papel do cliente é obter e apresentar o token ao resource server, que é quem valida e interpreta o token para liberar acesso ao recurso.

O authorization server emite o access token. Esse token pode ser opaco ou estruturado, por exemplo um JWT. Se for opaco, apenas o resource server ou o authorization server podem "introspectar" seu conteúdo. Se for JWT, o resource server deve verificar assinatura e validade antes de confiar nas claims.

Permitir que o cliente leia e tome decisões com base no token quebra a separação de responsabilidades e aumenta risco de segurança. Portanto, interpretar tokens não é função do cliente.