OAuth 2.0 не определяет формат токена. Непрозрачные токены проверяют запросом к серверу авторизации (интроспекция токена, RFC 7662), и это позволяет отзывать их мгновенно. JWT-токены доступа проверяют локально; RFC 9068 задаёт для них профиль: typ со значением at+jwt, обязательные утверждения iss, exp, aud, sub, client_id, iat и jti, а также scope.
Серверы ресурсов обязаны проверять аудиторию и область доступа, а не только подпись, и считать токены учётными данными на предъявителя, если те не привязаны к отправителю через DPoP или mTLS. Клиентам следует считать токены доступа непрозрачными, даже если это JWT: формат может измениться.