OAuth 2.0 没有规定访问令牌的格式。不透明令牌要向授权服务器查询才能验证（令牌内省，RFC 7662），因此可以即时撤销。JWT 访问令牌在本地验证；RFC 9068 对其作了规范：typ 为 at+jwt，必需的声明为 iss、exp、aud、sub、client_id、iat 和 jti，另有 scope。
资源服务器必须检查受众和范围，而不仅仅是签名；除非令牌已通过 DPoP 或 mTLS 实现发送方约束，否则必须把它当作 Bearer 凭证对待。客户端即使拿到的访问令牌恰好是 JWT，也应把它当作不透明的值，因为格式可能会变。