密钥斗篷访问令牌与用户信息令牌？

Question

使用KeyCloak时，访问令牌与用户信息令牌有何不同？

从OAuth2/OpenIDConnect中，我了解到访问令牌提供了用户已经通过身份验证的信息，您需要使用用户信息令牌来获取关于用户及其配置文件/角色等的更多信息。

当我看到访问令牌时https://jwt.io/而不是用户信息令牌。我能够获得与用户配置文件相同的信息

为什么会这样，使用Keycloak时访问令牌与用户信息令牌有何不同？

Answer 1

我设法弄明白了如何在使用Keyclok获取这两个endpoint的不同数据：

KeyCloak为“OIDC令牌和SAML断言映射”提供功能，您还可以“控制声明的放置位置”通过使用按钮：-添加到标识令牌-添加到访问令牌-添加到用户信息通过将一些映射程序的“添加到标识令牌”和“添加到访问令牌”设置为关闭。这些将不包括在AccessToken中，因为它们将在UserInfo响应中。

http://www.keycloak.org/docs/latest/server_admin/index.html#_protocol-制图员

Answer 2

访问令牌旨在为您提供对应用程序资源的访问。为了获得访问令牌，您必须使用规范定义的任何流对自己进行身份验证。在KeyClope中，访问令牌包含用户名和角色，但您也可以使用管理面板添加自定义声明。添加一些声明可能很有用，因为令牌会在每个请求中发送，您可以从应用程序中对其进行解码。

根本没有用户信息令牌，实际上它是一个endpoint。这个endpoint是使用第一步中获得的访问令牌访问的，通常会提供一个包含用户详细信息（如用户数据、角色...）的JSON响应。