客户端场景下通过Auth0获取其他用户资料的方案咨询

针对你的场景，有几种可行方案，按推荐程度排序如下：

1. 搭建中转API（标准推荐方案） #

这是最合规且安全的做法，因为Auth0的管理API令牌必须保存在服务端，绝对不能暴露给客户端。具体流程：

• 客户端发起请求时，带上自身的Auth0 ID令牌（JWT）到你的中转API
• 中转API先验证该JWT的合法性（用Auth0提供的公钥签名验证，确保请求来自合法用户）
• 验证通过后，使用你预先在Auth0控制台生成并存储在服务端的管理API令牌，调用Auth0的Get User by ID接口获取目标用户资料
• 过滤掉敏感字段（比如邮箱、手机号等，只返回昵称、头像、用户名这类公开信息），再返回给客户端
• 优化点：可以给用户资料加短期缓存，减少对Auth0 API的重复调用，提升响应速度

2. 预存用户公开资料到自有数据库 #

如果不想维护中转API，可以把用户的公开资料同步到你自己的数据库中：

• 方式一：用户首次登录时，客户端从Auth0的ID令牌中提取公开字段（name、picture、nickname等），提交到你的服务端存储
• 方式二：用Auth0的规则（Rules）或动作（Actions），在用户创建、更新资料时自动触发同步逻辑，把指定字段推送到你的数据库
• 后续客户端查询其他用户资料时，直接从你的数据库读取即可，无需调用Auth0管理API
• 注意：要处理资料更新的同步问题，比如用户在Auth0修改了头像，需要通过Auth0的Webhook或规则触发你的数据库更新

3. 利用Auth0用户信息端点（仅适用于当前用户） #

客户端可以用自身的访问令牌调用Auth0的/userinfo端点，但这个接口只能获取当前请求用户自己的信息，无法查询其他用户的资料，所以不符合你需要查看消息作者资料的场景，仅作补充说明。

内容的提问来源于stack exchange，提问作者thijsfranck