基于oidc-provider npm：如何为JWT令牌添加自定义声明

一、给Access Token/ID Token添加角色字段 #

在oidc-provider里，你可以通过声明自定义Claim和配置用户信息钩子来实现角色字段注入：

1. 声明自定义Claim
   先在provider的初始化配置里，把roles标记为合法的自定义声明，让OIDC服务识别这个字段：

const provider = new Provider('https://你的 issuer 地址', {
  claims: {
    openid: ['sub', 'name', 'email'], // 保留标准OIDC声明
    roles: ['roles'], // 注册自定义角色声明
  },
  // 其他原有配置...
});

2. 在用户认证流程中注入角色数据
   核心是利用Account.findById钩子——这个方法会在生成令牌时被调用，用来拉取用户的完整信息。你需要在这里返回包含角色的用户对象：

provider.Account.findById = async (accountId) => {
  // 这里替换成你的实际逻辑：根据accountId从数据库/会话中获取用户角色
  const user = await getUserFromDB(accountId);
  
  return {
    accountId,
    claims: () => ({
      sub: accountId,
      roles: user.roles, // 把角色字段加入返回的声明中
      // 其他需要加入JWT的字段也可以在这里添加
    }),
  };
};

3. 前端请求时指定角色范围
   前端发起授权码请求时，必须在scope参数里带上roles，比如：scope=openid profile roles，否则令牌里不会包含角色字段。

二、关于/me端点的处理 #

/me也就是UserInfo端点，和JWT的作用是互补的：

• 如果角色信息不需要保密，直接放在ID Token里最方便，前端解析ID Token就能拿到，不用额外调用/me；
• 如果角色信息比较敏感，不想暴露在前端存储的ID Token里，可以只把角色放在Access Token中，然后前端用Access Token调用/me端点获取角色数据。

只要你完成了上面的Claim声明和findById配置，/me端点会自动返回角色字段——前提是前端请求时的scope包含了roles。

三、验证配置是否生效 #

• 生成令牌后，用JWT解析工具查看Payload，确认roles字段存在；
• 携带有效的Access Token调用/me接口，检查返回的JSON数据里是否包含角色信息。

内容的提问来源于stack exchange，提问作者user1790300