Claims do JWT
Os pares chave-valor no payload de um JWT. A RFC 7519 registra nomes curtos padronizados (3 letras).
Claims padrão: iss (issuer — emissor), sub (subject — ID do usuário), aud (audience — para quem o token é destinado), exp (expiry — timestamp Unix de expiração), iat (issued at — emitido em), nbf (not before — não antes de), jti (ID único do token, para revogação). O OIDC acrescenta email, name, preferred_username. Claims privados (personalizados): use uma URI ou domínio para evitar colisões (https://seu-app.com/role). Sempre valide aud + exp + a assinatura — um erro comum que leva a escalonamento de privilégio.