能否将全局唯一用户ID用作OIDC ID Token的sub声明？

先澄清OIDC对sub的核心要求 #

OIDC Core Spec里sub的定义“发行方内针对终端用户的本地唯一且永不重新分配的标识符”，核心有两个关键点：

• OP范围内唯一：在同一个OpenID Provider（身份提供商）的所有客户端（A、B、C等）中，该标识符只能对应唯一一位终端用户；
• 永不复用：当某用户被删除或注销后，这个标识符绝对不能重新分配给其他新用户。

针对你的问题的解答 #

问题1：能否直接将全局唯一用户ID作为sub的值？ #

完全可以。你的全局唯一ID本身已经满足OIDC对sub的所有要求：

• 全局唯一意味着在OP范围内必然唯一；
• 你明确该ID不会被其他用户使用，满足“永不重新分配”的要求。
  这种做法简洁直接，没有任何合规性问题。

问题2：是否需要将sub设为随机字符串与全局ID的组合，把全局ID放到preferred_username里？ #

不需要，这不是OIDC的强制要求。Keycloak的这种格式是它自身的实现策略（比如用于区分租户、用户类型等场景），并非标准规定。如果你的业务没有这类特殊需求，直接用全局ID作为sub即可。

另外要明确：sub是用于身份唯一标识的字段，而preferred_username是给依赖方（RP）显示用的用户简称，两者职责完全独立。你可以根据业务需求决定是否将全局ID设为preferred_username，但这和sub的设置没有绑定关系。

对定义的补充解释 #

“发行方内针对终端用户的本地唯一且永不重新分配的标识符”里的“本地”，指的是OP的管辖范围，而非用户ID不能是全局唯一。也就是说，OIDC并不禁止sub使用全局唯一ID，只是要求它在OP内部必须唯一且永不复用——你的全局ID完全符合这个要求。

内容的提问来源于stack exchange，提问作者Jess