Разница между «aud» и «iss» в jwt

Я хочу реализовать более надежную службу аутентификации, и jwtэто большая часть того, что я хочу сделать, и я понимаю, как писать код, но у меня возникли небольшие проблемы с пониманием различий между зарезервированными issи audутверждениями. Я понимаю, что один определяет сервер, который выдает токен, а другой относится к приложению, которое предназначено для использования. Но, насколько я понимаю, это то, что моя аудитория и издатель - это одно и то же, я myserver.comвыдаю токен, чтобы люди, которые приходят, myserver.comмогли быть авторизованы и аутентифицированы. Я полагаю, что не вижу различий между двумя утверждениями, хотя знаю, что есть одно.
Была хорошая статья, написанная наmsdn на все зарезервированные претензии, и именно здесь я запутался больше всего, потому что их издатель и аудитория были совершенно разными.

Они предназначены для сценариев, в которых у вас есть полномочия на выдачу токена, которые не совпадают с приложением, которое является предполагаемым получателем.

Это может не отличаться для вашего приложения.

Но рассмотрим масштабное приложение. Возможно, у вас есть сервер OAuth или SSO, который выдает сертификаты, и приложение, которому нужен токен, который показывает, что сервер SSO проверил учетные данные пользователя и разрешил пользователю использовать приложение. В этом случае у вас может быть токен с "aud": "aud.example.com"и "iss": "sso.example.com".