使用email scope时，OIDC是否要求ID Token必须包含email类声明？

当客户端使用email scope时，符合OIDC规范的提供商不需要强制将email和email_verified声明放入ID Token，仅在UserInfo端点返回这两个声明完全合规。

核心规范依据 #

• OIDC规范定义email scope对应email和email_verified两个标准声明，但并未要求这些声明必须嵌入ID Token。ID Token的核心职责是完成身份认证，仅需包含iss、sub、aud、exp、iat等必填的身份认证声明即可。
• 规范明确允许ID Token包含额外声明（包括邮箱类属性），但这是可选行为，而非强制要求。客户端获取用户属性的标准路径是调用UserInfo端点，只要提供商在该端点的响应中正确返回email和email_verified，就满足email scope的要求。

常见实现的差异 #

像Google这类服务商选择将email和email_verified放入ID Token，是为了减少客户端的额外请求、优化体验，这属于厂商的增强实现，并非规范强制要求。不同提供商的实现可能存在差异，但只要UserInfo端点能返回对应声明，就符合合规要求。

内容的提问来源于stack exchange，提问作者Peque