在Auth0的Auth Code Flow with PKCE中如何将用户信息纳入Access Token JWT Payload

1. 确保前端请求正确的Scope参数 #

前端在发起Auth0授权请求（获取Auth Code阶段）时，必须包含openid email两个scope（openid是OIDC流程必填项，email用于获取用户邮箱权限）。示例代码：

// React前端授权请求配置
auth0.authorize({
  scope: 'openid email offline_access', // offline_access可选，用于刷新令牌
  response_type: 'code',
  code_challenge: '...', // PKCE的挑战码
  code_challenge_method: 'S256'
});

2. 通过Auth0 Action将邮箱注入Access Token #

Auth0默认不会把用户邮箱直接放在Access Token的顶层Payload（非标准Claims会被过滤），需要通过Login Flow Action添加带命名空间的自定义Claim：

1. 登录Auth0 Dashboard，进入「Actions > Flows > Login」
2. 创建新的Node.js环境Action，添加以下代码：

exports.onExecutePostLogin = async (event, api) => {
  // 替换成你自己的域名或自定义标识作为命名空间
  const namespace = 'https://your-app-domain.com/claims';
  // 将用户邮箱注入Access Token
  api.accessToken.setCustomClaim(`${namespace}/email`, event.user.email);
};

3. 将该Action添加到Login Flow流程中，保存并发布。

3. 后端解析Access Token获取邮箱 #

Express后端验证Access Token后，直接从JWT Payload提取自定义命名空间下的邮箱字段，无需调用/userinfo接口：

// Express后端验证并解析Token示例
const jwt = require('express-jwt');
const jwksRsa = require('jwks-rsa');

const checkJwt = jwt({
  secret: jwksRsa.expressJwtSecret({
    cache: true,
    rateLimit: true,
    jwksRequestsPerMinute: 5,
    jwksUri: 'https://your-auth0-domain/.well-known/jwks.json'
  }),
  audience: 'your-api-audience', // 你的API标识符
  issuer: 'https://your-auth0-domain/',
  algorithms: ['RS256']
});

app.post('/api/resources', checkJwt, (req, res) => {
  // 从Token Payload中获取邮箱
  const userEmail = req.user['https://your-app-domain.com/claims/email'];
  // 关联用户邮箱创建资源
  createResource({ email: userEmail, ...req.body })
    .then(resource => res.json(resource))
    .catch(err => res.status(500).json({ error: err.message }));
});

关键注意事项 #

• 必须使用自定义命名空间：Auth0会过滤OIDC标准之外的顶层Claims，不能直接添加email到Payload，需用类似https://your-domain/claims的命名空间前缀。
• 验证Scope权限：前端请求的scope必须包含email，否则Auth0不会向Action提供用户邮箱信息。
• 令牌合法性验证：后端需严格验证Access Token的签名、Audience、Issuer和过期时间，确保令牌有效。

内容的提问来源于stack exchange，提问作者Jay Setums