只对必需成员做哈希，按字典序排列，不含空白：EC 密钥为 crv、kty、x、y；RSA 密钥为 e、kty、n；OKP 密钥为 crv、kty、x（RFC 8037 §2）。kid、alg 和 use 等可选成员不参与计算，因此同一个密钥的指纹始终相同。RFC 9278 定义了 URI 形式：urn:ietf:params:oauth:jwk-thumbprint:sha-256:…。
用途：ACME 密钥授权（token.thumbprint）、绑定 DPoP 的访问令牌（cnf.jkt，RFC 9449）、SD-JWT VC 的持有者绑定、自签发 OpenID 提供方以及 kid 值。JWK 指纹与同一密钥的 SPKI 指纹不同，因为两者对不同的编码做哈希。