Logto 採用基於權杖的身份驗證，遵循 OAuth 2.0 和 OpenID Connect 標準。每次身份驗證或授權請求都會產生代表用戶身份驗證或授權狀態的權杖，例如訪問權杖、身份權杖和刷新權杖。

在計費方面，只有訪問權杖會被計算（身份權杖和刷新權杖不包括在內）。

在以下情況下會發放和計算訪問權杖：

用戶登錄：當用戶成功登錄後，會發放一個不透明的訪問權杖。此權杖可用於調用 UserInfo 端點或 Logto Account API 進行帳戶管理。

後端 API 授權 (RBAC)：當啟用基於角色的訪問控制 (RBAC) 來保護你的後端 API 時，會根據用戶的首次身份驗證為每個資源特定的授權請求發放一個 JWT 訪問權杖。

組織授權：如果啟用了組織功能，Logto 會透過發放組織訪問權杖來提供組織級的訪問控制。每次組織特定的授權請求會生成一個單獨的組織訪問權杖。

機器對機器 (M2M) 授權：每次 client_credentials 授權請求（例如，訪問 Logto Management API 時）會發放一個訪問權杖。

權杖交換：在個人訪問權杖交換或用戶模擬權杖交換期間，會發放一個新的訪問權杖。

刷新權杖使用：如果啟用了 offline_access，每次有效的刷新權杖交換後會在之前的權杖過期後發放一個新訪問權杖。

權杖與 MAU 的關係以及權杖計費更好的原因

基於 MAU 的計費每月按獨特用戶計費，而不考慮活動狀況。基於權杖的計費則按實際使用次數計費：每次發放一個訪問權杖。

基於權杖的計費是真正的按需付費模式。不像基於 MAU 的模式，不管使用情況如何整個月都收費，而你僅為實際的身份驗證和授權活動付費。這種方法對於只偶爾使用你的產品的低頻用戶非常友好，因為他們生成的權杖更少，與固定的 MAU 定價相比成本更低。因此，在涉及參與模式多樣化的應用時，Logto 比競爭對手更具成本效益。

例如，一次登錄可能消耗 1 個訪問權杖。使用 M2M 或組織等功能會生成額外的權杖。為了進行追踪，Logto 在 Console > Dashboard 中提供實時權杖使用情況監控，這有助於你更好地理解 MAU 和權杖之間在你特定項目中的關係。

OAuth 與 OIDC 供應商 探索器

OAuth 與 OIDC 供應商探索器