rest - 我应该使用 JWT 在身份验证端点中返回用户数据吗？

Question

我实现了一个身份验证端点，它接受电子邮件和密码并返回一个 JWT 令牌。在 JWT 内部有一个包含用户 ID 的有效负载。从 REST/JWT 标准的角度来看，我采用哪种方法是否重要？

1. 返回令牌并让客户端/users/user_id使用解码后的 user_id 和令牌在回调中请求资源
2. /auth为了客户端的方便，从端点返回带有令牌的整个用户对象。

（我的问题是实现/库不可知论以及关于 api 设计模式）

标签： restauthenticationjwtapi-design

Answer 1

这是软件工程堆栈交换上对此问题进行更彻底讨论和回答的链接

总结那里的讨论；如果 API 是在内部使用的，那么它就不那么重要了，如果你提供一个具有多个消费者的外部 API，那么它就更重要了。没有讨论任何一种方法的任何安全风险。