8장. OAuth와 OIDC

OAuth는 권한 위임, OIDC는 그 위의 인증 계층이다. ID token은 사용자 identity assertion, access token은 resource API 권한이다. 둘을 바꿔 쓰지 않는다.

Discovery와 JWKS를 사용하되 issuer allowlist와 cache/rotation을 관리한다. 검증된 표준 library를 우선하고 protocol을 직접 구현하지 않는다.