L'endpoint UserInfo
Impari come l'endpoint UserInfo di OpenID Connect consenta ai client di recuperare ulteriori claim verificati sull'utente autenticato usando un token di accesso.
L'endpoint UserInfo è una lezione OAuth2 & OpenID Connect Deep Dive gratuita su CoddyKit. Questa è la lezione 4 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento OAuth2 & OpenID Connect Deep Dive, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso OAuth2 & OpenID Connect Deep Dive include 4 lezioni in totale.
Parti di questa lezione non sono ancora state tradotte e vengono mostrate in inglese.
Beyond the ID Token
The ID token proves who the user is, but to keep it small it may carry only a few claims. The UserInfo endpoint is an OAuth2-protected resource that returns additional claims about the currently authenticated user.
It Is a Protected Resource
UserInfo is not part of the token endpoint — it is a normal protected API. You call it with the access token obtained during the OIDC flow, presented as a Bearer token.
Discovering the Endpoint
Its URL is published in the provider's discovery document under userinfo_endpoint.
GET /.well-known/openid-configuration
{
"userinfo_endpoint": "https://op.example.com/userinfo"
}Making the Request
Send a GET (or POST) with the access token in the Authorization header.
GET /userinfo HTTP/1.1
Host: op.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiIs...The Response
The response is a JSON object of claims. It must include the sub claim, which must equal the sub in the ID token to prevent token substitution.
{
"sub": "248289761001",
"name": "Jane Doe",
"email": "jane@example.com",
"email_verified": true,
"picture": "https://example.com/jane.jpg"
}Scopes Control Claims
Which claims are returned depends on the scopes granted during authorization:
profile— name, picture, locale, etc.email— email, email_verified.address— postal address.phone— phone_number, phone_number_verified.
Verifying the sub
Always confirm the sub from UserInfo matches the sub in the validated ID token. Otherwise an attacker could swap an access token issued for a different user.
if (userInfo.sub !== idTokenClaims.sub) {
throw new Error('sub mismatch - possible token substitution');
}Signed and Encrypted Responses
By default UserInfo returns plain JSON. Providers can also return a signed JWT (set via userinfo_signed_response_alg) so the client can verify integrity, and even an encrypted JWT for confidentiality.
ID Token vs UserInfo
When to use which?
- Put stable, identity-critical claims in the ID token (sub, auth_time).
- Fetch large or changeable profile data from UserInfo as needed.
This keeps the ID token compact while still giving rich profile access.
Caching Considerations
UserInfo data can change (a user updates their name). Avoid caching it indefinitely; refresh it on login or when you need current values, balancing freshness against extra network calls.
Error Handling
If the access token is expired or invalid, UserInfo returns a 401 with a WWW-Authenticate: Bearer error="invalid_token" header. Handle this by refreshing the token or re-authenticating.
Quick Check
Check your understanding of the UserInfo endpoint.
Recap
The UserInfo endpoint returns additional user claims using the access token.
- It is a protected resource, discovered via
userinfo_endpoint. - Returned claims depend on granted scopes.
- Always verify its
submatches the ID token'ssub. - Responses can be plain JSON or signed/encrypted JWTs.
Impara OAuth2 & OpenID Connect Deep Dive con un tutor IA — gratis
Scrivi ed esegui vero codice nel tuo browser, ricevi aiuto istantaneo da un tutor IA disponibile 24/7, e riprendi da dove hai lasciato sul web o nell'app.
- Corsi
- 12
- Lezioni
- 48
Domande Frequenti
La lezione «L'endpoint UserInfo» è gratuita?
Sì — il testo completo di «L'endpoint UserInfo» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso OAuth2 & OpenID Connect Deep Dive, passa a CoddyKit PRO. Il corso OAuth2 & OpenID Connect Deep Dive include 4 lezioni in totale.
Cosa imparerò in «L'endpoint UserInfo»?
Impari come l'endpoint UserInfo di OpenID Connect consenta ai client di recuperare ulteriori claim verificati sull'utente autenticato usando un token di accesso. Eserciti OAuth2 & OpenID Connect Deep Dive con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.
Ho bisogno di esperienza per iniziare OAuth2 & OpenID Connect Deep Dive?
Non è richiesta alcuna esperienza precedente. OAuth2 & OpenID Connect Deep Dive su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 4 di 4.
Quanto tempo richiede la lezione «L'endpoint UserInfo»?
La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.
Posso scrivere ed eseguire codice in questa lezione OAuth2 & OpenID Connect Deep Dive?
Sì. Ogni lezione OAuth2 & OpenID Connect Deep Dive include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.
Tutte le lezioni di questo corso
- OIDC: il livello di identità sopra OAuth2
- ID token e claim
- Panoramica dei flow OIDC
- L'endpoint UserInfo