关于Google Identity API的JWT中kid字段稳定性及跨端追踪的问询

1. 同一登录邮箱对应的kid字段是否固定？会不会变更？ #

kid是用于验证JWT的公钥指纹，它和用户账号没有绑定关系，只和Google当前使用的签名密钥对有关。Google会定期轮换签名密钥（比如出于安全合规、密钥过期等原因），所以即便是同一个用户的登录请求，不同时间返回的JWT里的kid也可能不一样。也就是说，同一邮箱对应的kid不是固定的，会发生变更。

2. 适合跨Web/Android应用追踪用户的永久字段 #

要实现跨端用户追踪，应该提取JWT中的sub字段：

• sub是Google为每个用户分配的唯一且永久不变的标识符，只要你的Web和Android应用属于同一个Google Cloud项目（使用同一项目下的OAuth客户端ID），同一用户在两个平台的sub值完全一致。
• 不要用email作为追踪标识：用户可以修改自己的Google账号邮箱，存在变更风险，稳定性远不如sub。

内容的提问来源于stack exchange，提问作者Gandalf