JWT访问令牌是否应包含个人身份信息（PII）？——基于OIDC协议的安全性争议与实践疑问

你提的这个点真的戳中了很多人对JWT和OIDC理解的盲区——不少开发者只记住了“访问令牌别放PII”的教条，却没深究在OIDC架构下这个准则的实际意义，这确实是个值得好好掰扯清楚的问题。

先说说“访问令牌不应包含PII”的原始初衷 #

• 精简令牌体积：JWT通常是放在HTTP请求头里传输的，如果塞太多内容，很容易触发请求头大小限制，导致接口调用失败。
• 降低直接泄露风险：这个准则其实更针对不透明访问令牌（比如一串随机字符串，只有授权服务器能解析出内容）——这种情况下，令牌本身不带任何用户信息，就算被拦截，攻击者也拿不到有用的PII。但如果是自包含的JWT令牌，任何人都能解码看到里面的claims（虽然签名能防止篡改），这时候“不含PII”的防护作用其实已经打了折扣。

OIDC User Info端点的风险确实绕不开 #

你说得完全没错：哪怕访问令牌本身干干净净没带任何PII，只要攻击者拿到了有效的令牌，就能直接调用User Info端点拉取用户的完整信息——这些信息和ID令牌里的内容基本一致，甚至可能更全。这时候“访问令牌不含PII”的做法，本质上只是把PII的暴露从“令牌本身”转移到了“User Info接口的响应”里，并没有从根本上解决“令牌泄露导致信息泄露”的核心问题。

那到底能不能把邮箱放进JWT访问令牌里？ #

我的答案是：可以，但要结合业务需求和安全风险做权衡，以下几个关键因素要考虑：

• 业务必要性优先：如果你的API确实需要邮箱信息来处理逻辑，每次调用都去请求User Info端点会额外增加网络开销和延迟，把邮箱直接塞进访问令牌里能显著提升接口性能，这时候这么做是合理的。
• 传输安全必须到位：一定要确保所有传输访问令牌的请求都用HTTPS加密，避免被中间人拦截窃取——这是基础中的基础，不管令牌里有没有PII都得这么做。
• 缩短令牌有效期：如果令牌里带了PII，那更要把访问令牌的有效期设得短一些（比如15分钟以内），就算令牌被泄露，攻击者能利用的时间窗口也会更小。
• 评估信息敏感程度：邮箱属于PII，但相比身份证号、银行卡号这类高度敏感的信息，风险相对低一些。如果是更敏感的信息，哪怕业务需要，也不建议放进访问令牌，还是走User Info端点更稳妥。
• 看令牌类型：如果你的系统用的是不透明访问令牌，那根本没法在令牌里加自定义字段，只能乖乖调用User Info端点；只有自包含的JWT令牌才能添加邮箱这类自定义claims。

额外的安全补充建议 #

• 给User Info端点加权限限制：比如只允许你的API客户端调用这个端点，或者校验令牌的aud（受众）是否匹配，避免任何拿到令牌的攻击者都能随意拉取用户信息。
• 搭配刷新令牌使用：用短有效期的访问令牌+长有效期的刷新令牌，既能降低访问令牌泄露的风险，又能减少用户频繁登录的麻烦。

内容的提问来源于stack exchange，提问作者Daniel Revell