是否可以从谷歌的id_token中获取个人资料信息？

Question

使用Google的OpenIDConnect身份验证系统时，可以在＜code＞范围电子邮件范围，“电子邮件”和“email_verified”声明将包含在id_token，作为成功的OAuth2身份验证会话的一部分返回。

这是谷歌留档的一个例子：

ID令牌的有效负载

ID标记是包含一组名称/值对的JSON对象。下面是一个为可读性格式化的示例：

{"iss":"accounts.google.com", 
 "at_hash":"HK6E_P6Dh8Y93mRNtsDB1Q", 
 "email_verified":"true",
 "sub":"10769150350006150715113082367", 
 "azp":"1234987819200.apps.googleusercontent.com", 
 "email":"[e-mail]", 
 "aud":"1234987819200.apps.googleusercontent.com", 
 "iat":1353601026, 
 "exp":1353604926,
 "hd":"example.com" 
}

但是，请求配置文件范围似乎对id_token的内容没有任何影响。为了检索配置文件信息，您必须向不同的endpoint发出单独的HTTP请求（使用刚刚收到的access_token进行身份验证）以获取看起来非常相似但包含更多信息的文档：

{
  "kind": "plus#personOpenIdConnect",
  "gender": string,
  "sub": string,
  "name": string,
  "given_name": string,
  "family_name": string,
  "profile": string,
  "picture": string,
  "email": string,
  "email_verified": "true",
  "locale": string,
  "hd": string
}

理想情况下，我更希望获得id_token JWT中包含的配置文件信息（实际上是name），而不是单独调用。是否有任何方法指定其他字段并将其作为声明包含在id_token中？如果不是，为什么＜code＞电子邮件

Answer 1

嗯，这是正确的地方要求。我们正在努力支持这项功能，应该很快就会推出(在接下来的几周内)。到时候我会对这个回复做一个更新。

Answer 2

当使用response_type=id_token和范围内的配置文件（如code=openid配置文件email）发出请求时，生成的id令牌应直接包含配置文件声明。

这是根据OpenID Connect规范的第5.4节，其中说“…当没有颁发访问令牌时（response_typevalueid_token就是这种情况），生成的Claims将在ID令牌中返回。”

然而，在我对他们的OAuth 2游乐场所做的一个小测试中，Google似乎没有将配置文件声明放在id令牌中，即使response_type=id_token并且没有发布访问令牌。我认为这是谷歌的一个实现缺陷，如果他们不解决这一问题（或添加对“声明”请求参数的支持），似乎就没有办法实现您所期望的。

Answer 3

从今天开始，您将在令牌endpoint交换代码时获得配置文件信息（即使用“代码流”）。

如何使用：将配置文件范围添加到您的请求中，并确保您使用的是符合OpenID Connect的endpoint（https://accounts.google.com/.well-known/openid-configuration中列出的endpoint）。

在这些 ID 令牌响应中查找名称和图片等声明。与之前一样，如果电子邮件范围位于请求中，则 ID 令牌将包含与电子邮件相关的声明。

当您刷新访问令牌时，与新访问令牌一起返回的ID令牌也会经常包含这些额外的声明。您可以检查这些字段，如果存在（并且与您存储的内容不同），请更新您的用户配置文件。这对于检测姓名或电子邮件地址更改很有用。