UserInfo Uç Noktası
OpenID Connect UserInfo uç noktasının, istemcilerin kimliği doğrulanmış kullanıcı hakkındaki ek doğrulanmış talepleri bir erişim belirteci kullanarak almasına nasıl olanak tanıdığını öğrenin.
UserInfo Uç Noktası, CoddyKit'te ücretsiz bir OAuth2 & OpenID Connect Deep Dive dersidir. Bu, 4 dersinin 4. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, OAuth2 & OpenID Connect Deep Dive öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. OAuth2 & OpenID Connect Deep Dive kursu toplamda 4 dersten oluşur.
Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.
Beyond the ID Token
The ID token proves who the user is, but to keep it small it may carry only a few claims. The UserInfo endpoint is an OAuth2-protected resource that returns additional claims about the currently authenticated user.
It Is a Protected Resource
UserInfo is not part of the token endpoint — it is a normal protected API. You call it with the access token obtained during the OIDC flow, presented as a Bearer token.
Discovering the Endpoint
Its URL is published in the provider's discovery document under userinfo_endpoint.
GET /.well-known/openid-configuration
{
"userinfo_endpoint": "https://op.example.com/userinfo"
}Making the Request
Send a GET (or POST) with the access token in the Authorization header.
GET /userinfo HTTP/1.1
Host: op.example.com
Authorization: Bearer eyJhbGciOiJSUzI1NiIs...The Response
The response is a JSON object of claims. It must include the sub claim, which must equal the sub in the ID token to prevent token substitution.
{
"sub": "248289761001",
"name": "Jane Doe",
"email": "jane@example.com",
"email_verified": true,
"picture": "https://example.com/jane.jpg"
}Scopes Control Claims
Which claims are returned depends on the scopes granted during authorization:
profile— name, picture, locale, etc.email— email, email_verified.address— postal address.phone— phone_number, phone_number_verified.
Verifying the sub
Always confirm the sub from UserInfo matches the sub in the validated ID token. Otherwise an attacker could swap an access token issued for a different user.
if (userInfo.sub !== idTokenClaims.sub) {
throw new Error('sub mismatch - possible token substitution');
}Signed and Encrypted Responses
By default UserInfo returns plain JSON. Providers can also return a signed JWT (set via userinfo_signed_response_alg) so the client can verify integrity, and even an encrypted JWT for confidentiality.
ID Token vs UserInfo
When to use which?
- Put stable, identity-critical claims in the ID token (sub, auth_time).
- Fetch large or changeable profile data from UserInfo as needed.
This keeps the ID token compact while still giving rich profile access.
Caching Considerations
UserInfo data can change (a user updates their name). Avoid caching it indefinitely; refresh it on login or when you need current values, balancing freshness against extra network calls.
Error Handling
If the access token is expired or invalid, UserInfo returns a 401 with a WWW-Authenticate: Bearer error="invalid_token" header. Handle this by refreshing the token or re-authenticating.
Quick Check
Check your understanding of the UserInfo endpoint.
Recap
The UserInfo endpoint returns additional user claims using the access token.
- It is a protected resource, discovered via
userinfo_endpoint. - Returned claims depend on granted scopes.
- Always verify its
submatches the ID token'ssub. - Responses can be plain JSON or signed/encrypted JWTs.
Sıkça Sorulan Sorular
“UserInfo Uç Noktası” dersi ücretsiz mi?
Evet — “UserInfo Uç Noktası” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve OAuth2 & OpenID Connect Deep Dive kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. OAuth2 & OpenID Connect Deep Dive kursu toplamda 4 dersten oluşur.
“UserInfo Uç Noktası” dersinde ne öğreneceğim?
OpenID Connect UserInfo uç noktasının, istemcilerin kimliği doğrulanmış kullanıcı hakkındaki ek doğrulanmış talepleri bir erişim belirteci kullanarak almasına nasıl olanak tanıdığını öğrenin. OAuth2 & OpenID Connect Deep Dive ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.
OAuth2 & OpenID Connect Deep Dive öğrenmeye başlamak için deneyim gerekli mi?
Önceden deneyim gerekmez. CoddyKit'te OAuth2 & OpenID Connect Deep Dive, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 4. dersidir.
“UserInfo Uç Noktası” dersi ne kadar sürer?
Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.
Bu OAuth2 & OpenID Connect Deep Dive dersinde kod yazıp çalıştırabilir miyim?
Evet. Her OAuth2 & OpenID Connect Deep Dive dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.
Bu kursun tüm dersleri
- OIDC: OAuth2 Üzerinde Kimlik Katmanı
- ID Belirteçleri ve Talepler
- OIDC Akışlarına Genel Bakış
- UserInfo Uç Noktası