OAuth2.0 ID Token中SUB值的固定性及相关技术问题咨询

1. sub值是否与特定用户一一绑定，且后续获取Token时不会变更？ #

• Google的sub是用户与你的应用（对应唯一客户端ID）的专属配对标识，同一个用户在你的应用内的sub永久固定，不受用户修改账户信息的影响；
• Apple的sub同理，是用户与你的应用的唯一绑定ID，只要用户未撤销对你应用的Sign in with Apple授权，sub就不会改变，且每个用户在你的应用中对应唯一的sub值。

2. 能否将sub值作为应用中的external_user_id？ #

完全可以，这正是sub字段的设计初衷——作为第三方身份提供商返回的用户唯一标识，用于在你的应用中关联用户账户。需要注意的是，Google和Apple的sub值可能存在格式重叠，建议存储时加上前缀（如google_xxx、apple_xxx）来区分不同身份来源，避免冲突。

3. Google/Apple用户能否在账户设置中查看该sub值？ #

不能。sub是身份提供商用于应用与平台间身份验证的内部标识，Google和Apple都不会在用户的账户设置界面展示该值，用户无法直接查看。

内容的提问来源于stack exchange，提问作者kirill.login