authentication - 是否可以将“获取令牌”和“获取用户信息”步骤合二为一？

Question

在授权代码流中，客户端通常一步获取id 令牌和访问令牌，然后将访问令牌传递给 userinfo 端点以在第二步中获取实际数据。

就 OpenID Connect 而言，是否可以将这些步骤合二为一，因此从客户端到 OpenID 提供者的一次往返就足够了？

注意 访问令牌的实际内容取决于 OpenID 提供者的实现者，所以理论上我可以将数据放在那里 - 但这似乎不是一个好的做法，或者是吗？

Answer 1

根据 OpenId Connect规范：

ID 令牌可能包含其他声明。

该规范还定义了一组标准声明

如果id 令牌包含您想要的用户信息声明，您可以直接从id 令牌中获取这些用户信息声明。