RT、AT、ID Token 和 API Key 的区别
AT 用于访问被授权的资源，RT 用于向签发方换取新的访问凭据，ID Token 描述身份认证信息；API Key 是另一类调用凭据。它们用途不同，不能通过改字段名相互替代。
四种凭据对照
| 名称 | 用途 | 本项目中的处理 |
|---|---|---|
| AT / Access Token | 访问授权范围内的资源 | 提取并写入认证 JSON；有效期通常对应 AT |
| RT / Refresh Token | 向签发方换取新的访问凭据 | 提取、查看、导出；不提供自动续期功能 |
| ID Token | 传达身份认证信息和 claims | 提取并整理可映射的账号资料 |
| API Key | 服务方定义的另一种接口调用凭据 | 不生成 API Key，不把 OAuth Token 转为 API Key |
expires_at 是 RT 的到期时间吗？
不是。提取结果中的 expires_at 表示 AT 的到期时间，不能据此推断 RT 的寿命。撤销、账号状态和服务方策略都可能影响凭据是否还能使用，最终由签发方判断。
读取 JWT claims 等于验证 Token 吗？
不等于。转换器读取 JWT claims 只是为了补充邮箱、账号、套餐等可映射资料，不验证签名、认证状态或权限。解析成功、转换成功与服务方接受该凭据是不同的结果。
如何保管这些内容？
Token、密码和 2FA 密钥都应按敏感凭据保管。不要提交到代码仓库、公开截图、搜索参数或讨论群；分享问题时只保留脱敏错误信息。