Проверка аудитории не даёт повторно использовать токен, выпущенный для одного сервиса, в другом сервисе, который доверяет тому же издателю. В ID-токенах OpenID Connect aud — это идентификатор клиента; в токенах доступа OAuth это обычно идентификатор сервера ресурсов (RFC 9068 его требует), а индикаторы ресурсов (RFC 8707) позволяют клиентам запросить конкретную аудиторию.
Библиотеки ведут себя по-разному: некоторые проверяют aud, только если вызывающий код передал ожидаемое значение, поэтому забытый параметр молча отключает проверку. Значения чувствительны к регистру и сравниваются точно; если аудитория задана массивом, достаточно совпадения любого элемента.