当使用JWT进行身份验证时，自定义作用域(权限/声明)应该放在访问令牌中还是id令牌中？

当使用JWT进行身份验证时，自定义作用域（权限/声明）应该放在访问令牌中。

访问令牌（Access Token）是用于访问受保护资源的令牌，它包含了身份验证和授权信息。访问令牌通常具有较短的有效期，用于在一段时间内访问受保护的资源。

ID令牌（ID Token）是用于标识用户身份的令牌，它包含了用户的身份信息，如用户ID、姓名等。ID令牌通常具有较长的有效期，用于在客户端验证用户身份。

自定义作用域（权限/声明）是指根据业务需求定义的特定权限或声明，用于控制用户对资源的访问权限或提供额外的用户信息。

将自定义作用域放在访问令牌中的优势是：

减少ID令牌的大小：将自定义作用域放在访问令牌中可以减少ID令牌的大小，提高传输效率。
降低ID令牌的泄露风险：ID令牌通常具有较长的有效期，如果将自定义作用域放在ID令牌中，一旦ID令牌泄露，攻击者可以获取到用户的额外信息或权限，增加了安全风险。
灵活控制访问权限：将自定义作用域放在访问令牌中可以更灵活地控制用户对资源的访问权限。不同的访问令牌可以包含不同的自定义作用域，根据业务需求进行动态授权。

推荐的腾讯云相关产品：腾讯云身份认证服务（CAM）

腾讯云身份认证服务（Cloud Access Management，CAM）是腾讯云提供的一种身份和访问管理服务，用于帮助用户管理腾讯云资源的访问权限。CAM支持基于角色的访问控制（RBAC），可以通过定义策略和角色来管理用户对腾讯云资源的访问权限。

CAM可以与JWT进行集成，通过自定义策略和角色，将自定义作用域（权限/声明）与访问令牌进行关联，实现灵活的身份验证和授权管理。

了解更多关于腾讯云身份认证服务（CAM）的信息，请访问：腾讯云身份认证服务（CAM）