Der UserInfo-Endpunkt
Lernen Sie, wie der OpenID-Connect-UserInfo-Endpunkt Clients ermöglicht, mithilfe eines Access Tokens zusätzliche verifizierte Claims über den authentifizierten Benutzer abzurufen.
Der UserInfo-Endpunkt ist eine kostenlose OAuth2 & OpenID Connect Deep Dive-Lektion auf CoddyKit. Dies ist Lektion 4 von 4. Du kannst die komplette Lektion unten kostenlos lesen – dann übst du sie direkt im Browser mit einem integrierten Code-Editor und einem KI-Tutor rund um die Uhr. Sie ist Teil des OAuth2 & OpenID Connect Deep Dive-Lernpfads, und dein Fortschritt wird über Web und CoddyKit-App synchronisiert. Der OAuth2 & OpenID Connect Deep Dive-Kurs umfasst insgesamt 4 Lektionen.
Teile dieser Lektion wurden noch nicht übersetzt und werden auf Englisch angezeigt.
Beyond the ID Token
The ID token proves who the user is, but to keep it small it may carry only a few claims. The UserInfo endpoint is an OAuth2-protected resource that returns additional claims about the currently authenticated user.
It Is a Protected Resource
UserInfo is not part of the token endpoint — it is a normal protected API. You call it with the access token obtained during the OIDC flow, presented as a Bearer token.
Discovering the Endpoint
Its URL is published in the provider's discovery document under userinfo_endpoint.
GET /.well-known/openid-configuration
{
"userinfo_endpoint": "https://op.example.com/userinfo"
}Making the Request
Send a GET (or POST) with the access token in the Authorization header.
GET /userinfo HTTP/1.1
Host: op.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiIs...The Response
The response is a JSON object of claims. It must include the sub claim, which must equal the sub in the ID token to prevent token substitution.
{
"sub": "248289761001",
"name": "Jane Doe",
"email": "jane@example.com",
"email_verified": true,
"picture": "https://example.com/jane.jpg"
}Scopes Control Claims
Which claims are returned depends on the scopes granted during authorization:
profile— name, picture, locale, etc.email— email, email_verified.address— postal address.phone— phone_number, phone_number_verified.
Verifying the sub
Always confirm the sub from UserInfo matches the sub in the validated ID token. Otherwise an attacker could swap an access token issued for a different user.
if (userInfo.sub !== idTokenClaims.sub) {
throw new Error('sub mismatch - possible token substitution');
}Signed and Encrypted Responses
By default UserInfo returns plain JSON. Providers can also return a signed JWT (set via userinfo_signed_response_alg) so the client can verify integrity, and even an encrypted JWT for confidentiality.
ID Token vs UserInfo
When to use which?
- Put stable, identity-critical claims in the ID token (sub, auth_time).
- Fetch large or changeable profile data from UserInfo as needed.
This keeps the ID token compact while still giving rich profile access.
Caching Considerations
UserInfo data can change (a user updates their name). Avoid caching it indefinitely; refresh it on login or when you need current values, balancing freshness against extra network calls.
Error Handling
If the access token is expired or invalid, UserInfo returns a 401 with a WWW-Authenticate: Bearer error="invalid_token" header. Handle this by refreshing the token or re-authenticating.
Quick Check
Check your understanding of the UserInfo endpoint.
Recap
The UserInfo endpoint returns additional user claims using the access token.
- It is a protected resource, discovered via
userinfo_endpoint. - Returned claims depend on granted scopes.
- Always verify its
submatches the ID token'ssub. - Responses can be plain JSON or signed/encrypted JWTs.
Häufig gestellte Fragen
Ist die Lektion „Der UserInfo-Endpunkt“ kostenlos?
Ja — der vollständige Text von „Der UserInfo-Endpunkt“ ist hier im Web kostenlos zu lesen. Um sie interaktiv zu üben (integrierter Code-Editor und 24/7 KI-Tutor) und den Rest des OAuth2 & OpenID Connect Deep Dive-Kurses freizuschalten, upgrade auf CoddyKit PRO. Der OAuth2 & OpenID Connect Deep Dive-Kurs umfasst insgesamt 4 Lektionen.
Was lerne ich in „Der UserInfo-Endpunkt“?
Lernen Sie, wie der OpenID-Connect-UserInfo-Endpunkt Clients ermöglicht, mithilfe eines Access Tokens zusätzliche verifizierte Claims über den authentifizierten Benutzer abzurufen. Du übst OAuth2 & OpenID Connect Deep Dive mit praktischem Code, den du direkt im Browser ausführst, und ein 24/7 KI-Tutor beantwortet deine Fragen während du die Lektion bearbeitest.
Brauche ich Erfahrung, um OAuth2 & OpenID Connect Deep Dive zu starten?
Keine Vorkenntnisse erforderlich. OAuth2 & OpenID Connect Deep Dive auf CoddyKit ist für Anfänger bis fortgeschrittene Lernende strukturiert, sodass du hier starten oder von Anfang an beginnen und in deinem eigenen Tempo voranschreiten kannst. Dies ist Lektion 4 von 4.
Wie lange dauert die Lektion „Der UserInfo-Endpunkt“?
Die meisten CoddyKit-Lektionen dauern etwa 5–10 Minuten. Jede ist kompakt und interaktiv, sodass du stetig Fortschritte machst und genau dort weitermachst, wo du aufgehört hast – im Web und in der App.
Kann ich in dieser OAuth2 & OpenID Connect Deep Dive-Lektion Code schreiben und ausführen?
Ja. Jede OAuth2 & OpenID Connect Deep Dive-Lektion enthält einen integrierten Code-Editor, sodass du echten Code direkt in deinem Browser schreibst und ausführst und sofort KI-Feedback erhältst — ohne lokale Einrichtung erforderlich.
Alle Lektionen in diesem Kurs
- OIDC: Identitätsschicht für OAuth2
- ID Tokens und Claims
- Überblick über OIDC-Flows
- Der UserInfo-Endpunkt