基于Angular与Spring Boot：通过Access Token获取ID Token可行吗？

答案是不一定，结果取决于你的授权服务器（如Keycloak、Spring Authorization Server等）的支持能力，以及OAuth2/OIDC流程的配置情况：

• 标准OIDC流程默认不支持该能力
  Access Token的核心作用是资源授权（让后端确认你具备访问特定资源的权限），而ID Token是身份认证凭证（用于确认用户的身份信息）。在标准OIDC流程中，ID Token只会在授权码流程、隐式流程等初始认证环节返回给前端（Angular），不存在通过Access Token换取ID Token的标准机制。

• 部分授权服务器的扩展接口可能支持
  少数授权服务器提供了非标准的扩展接口，允许通过有效的Access Token获取ID Token，但需要满足两个前提：

  1. 授权服务器本身具备对应的端点（比如部分服务商提供的专属查询接口）
  2. 你的Access Token需要包含足够的权限（比如必须携带openid scope）

• 更合理的实现方案：前端直接传递ID Token到后端
  若你的Angular应用是通过OIDC流程完成认证的，前端本身就已经持有ID Token，可直接将其与Access Token一同发送至Spring Boot后端。后端通过验证ID Token的签名、有效期等信息，即可获取用户身份数据。
  Angular端示例（通过拦截器添加请求头）：

  // Angular请求拦截器逻辑
  const accessToken = this.authService.getAccessToken();
  const idToken = this.authService.getIdToken();
  request = request.clone({
    setHeaders: {
      Authorization: `Bearer ${accessToken}`,
      'X-ID-Token': idToken
    }
  });
  

  Spring Boot后端示例（解析验证ID Token）：

  @GetMapping("/api/user/info")
  public ResponseEntity<?> getUserInfo(@RequestHeader("X-ID-Token") String idToken) {
      // 使用JJWT库解析验证ID Token
      Jws<Claims> claimsJws = Jwts.parserBuilder()
          .setSigningKey(authServerPublicKey)
          .build()
          .parseClaimsJws(idToken);
      String userId = claimsJws.getBody().getSubject();
      String userName = claimsJws.getBody().get("name", String.class);
      return ResponseEntity.ok(Map.of("userId", userId, "userName", userName));
  }
  

• 若前端未获取到ID Token
  说明你的认证流程仅启用了纯OAuth2模式，未开启OIDC。此时需修改Angular的认证配置，启用OIDC模式并确保请求openid scope，这样认证成功后就能同时获取Access Token和ID Token。例如使用angular-oauth2-oidc库时的配置：

  OAuthModule.forRoot({
    resourceServer: {
      allowedUrls: ['http://localhost:8080/api'],
      sendAccessToken: true
    },
    oauthService: {
      oidc: true, // 开启OIDC模式
      issuer: 'https://your-auth-server.com/auth/realms/your-realm',
      clientId: 'your-client-id',
      redirectUri: window.location.origin + '/auth-callback',
      scope: 'openid profile email', // 必须包含openid scope以获取ID Token
    }
  })
  

内容的提问来源于stack exchange，提问作者robert trudel