Меня смущают access_token и id_token OIDC, какой из них должен быть установлен в заголовок авторизации при отправке запроса владельцу ресурса? Является ли id_token только для клиента, чтобы отображать информацию о пользователе без запроса?





Думаю, здесь на аналогичный вопрос отвечает ajaybc - https://stackoverflow.com/a/19443840/4794396.
Например, id_token требуется для аутентификации пользователя. И access_token является обязательным для доступа к конечной точке.
PS: Не могу оставить комментарий, так как у меня еще нет 50 репутации.