Trong OpenID Connect, `id_token` khác `access_token` thế nào? Dùng `id_token` gọi API được không?

Hai token phục vụ hai mục đích khác nhau:

id_token chứa các claim chuẩn: iss, sub (id ổn định của user), aud, exp, iat, nonce, cộng thêm email, name nếu scope cho phép.

Không dùng id_token để gọi API. Nó được phát cho client, không phải cho resource server; API nhận id_token mà chấp nhận là bỏ qua kiểm tra aud — nghĩa là token do một app khác cùng provider phát ra cũng lọt. Đúng bản chất: id_token dùng để tạo phiên đăng nhập phía client rồi vứt đi, access_token mới là thứ đính kèm Authorization: Bearer.

Khi verify id_token phải kiểm: chữ ký (JWKS của provider), iss khớp, aud khớp client_id, exp chưa hết hạn, nonce khớp giá trị đã gửi.