El endpoint UserInfo
Aprenda cómo el endpoint UserInfo de OpenID Connect permite a los clientes obtener claims verificados adicionales sobre el usuario autenticado mediante un token de acceso.
El endpoint UserInfo es una lección gratuita de OAuth2 & OpenID Connect Deep Dive en CoddyKit. Esta es la lección 4 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de OAuth2 & OpenID Connect Deep Dive, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de OAuth2 & OpenID Connect Deep Dive incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Beyond the ID Token
The ID token proves who the user is, but to keep it small it may carry only a few claims. The UserInfo endpoint is an OAuth2-protected resource that returns additional claims about the currently authenticated user.
It Is a Protected Resource
UserInfo is not part of the token endpoint — it is a normal protected API. You call it with the access token obtained during the OIDC flow, presented as a Bearer token.
Discovering the Endpoint
Its URL is published in the provider's discovery document under userinfo_endpoint.
GET /.well-known/openid-configuration
{
"userinfo_endpoint": "https://op.example.com/userinfo"
}Making the Request
Send a GET (or POST) with the access token in the Authorization header.
GET /userinfo HTTP/1.1
Host: op.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiIs...The Response
The response is a JSON object of claims. It must include the sub claim, which must equal the sub in the ID token to prevent token substitution.
{
"sub": "248289761001",
"name": "Jane Doe",
"email": "jane@example.com",
"email_verified": true,
"picture": "https://example.com/jane.jpg"
}Scopes Control Claims
Which claims are returned depends on the scopes granted during authorization:
profile— name, picture, locale, etc.email— email, email_verified.address— postal address.phone— phone_number, phone_number_verified.
Verifying the sub
Always confirm the sub from UserInfo matches the sub in the validated ID token. Otherwise an attacker could swap an access token issued for a different user.
if (userInfo.sub !== idTokenClaims.sub) {
throw new Error('sub mismatch - possible token substitution');
}Signed and Encrypted Responses
By default UserInfo returns plain JSON. Providers can also return a signed JWT (set via userinfo_signed_response_alg) so the client can verify integrity, and even an encrypted JWT for confidentiality.
ID Token vs UserInfo
When to use which?
- Put stable, identity-critical claims in the ID token (sub, auth_time).
- Fetch large or changeable profile data from UserInfo as needed.
This keeps the ID token compact while still giving rich profile access.
Caching Considerations
UserInfo data can change (a user updates their name). Avoid caching it indefinitely; refresh it on login or when you need current values, balancing freshness against extra network calls.
Error Handling
If the access token is expired or invalid, UserInfo returns a 401 with a WWW-Authenticate: Bearer error="invalid_token" header. Handle this by refreshing the token or re-authenticating.
Quick Check
Check your understanding of the UserInfo endpoint.
Recap
The UserInfo endpoint returns additional user claims using the access token.
- It is a protected resource, discovered via
userinfo_endpoint. - Returned claims depend on granted scopes.
- Always verify its
submatches the ID token'ssub. - Responses can be plain JSON or signed/encrypted JWTs.
Preguntas frecuentes
¿La lección «El endpoint UserInfo» es gratis?
Sí — el texto completo de «El endpoint UserInfo» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de OAuth2 & OpenID Connect Deep Dive, actualiza a CoddyKit PRO. El curso de OAuth2 & OpenID Connect Deep Dive incluye 4 lecciones en total.
¿Qué aprenderé en «El endpoint UserInfo»?
Aprenda cómo el endpoint UserInfo de OpenID Connect permite a los clientes obtener claims verificados adicionales sobre el usuario autenticado mediante un token de acceso. Practicas OAuth2 & OpenID Connect Deep Dive con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar OAuth2 & OpenID Connect Deep Dive?
No se requiere experiencia previa. OAuth2 & OpenID Connect Deep Dive en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 4 de 4.
¿Cuánto tiempo toma la lección «El endpoint UserInfo»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de OAuth2 & OpenID Connect Deep Dive?
Sí. Cada lección de OAuth2 & OpenID Connect Deep Dive incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- OIDC: capa de identidad sobre OAuth2
- Tokens de ID y claims
- Introducción a los flujos de OIDC
- El endpoint UserInfo